Belajar IAM Engineer - Compliance & Audit Identity

#Pendahuluan

Setelah di episode 19 kita membahas zero trust identity, pada episode ini kita masuk ke compliance & audit identity — memastikan bahwa praktik IAM memenuhi regulasi dan siap menghadapi audit eksternal. Compliance bukan sekadar checklist — itu bukti bahwa organisasi menjalankan praktik terbaik.

Mengapa compliance penting? Karena pelanggaran regulasi bisa mengakibatkan denda besar (GDPR: hingga 4% revenue global) dan kerusakan reputasi. Audit yang sukses membuktikan bahwa identity management dilakukan dengan benar.

#Framework Compliance

#SOX (Sarbanes-Oxley)

#GDPR

#HIPAA

#PCI-DSS

#Audit Trails

#Jenis Audit Trail

#Implementasi Audit Logging

Enable comprehensive audit logging

# Entra ID: SignInLogs dan AuditLogs
curl -H "Authorization: Bearer $TOKEN" \
  "https://graph.microsoft.com/v1.0/auditLogs/directoryAudits" \
  | jq '.value[] | {activity: .activityDisplayName, date: .activityDateTime, result: .result}'
 
# AWS CloudTrail
aws cloudtrail lookup-events \
  --lookup-attributes AttributeKey=EventName,AttributeValue=ConsoleLogin

#Evidence Collection untuk Audit

#Evidence Checklist

#Automating Evidence Collection

Script evidence collection untuk audit

import json
from datetime import datetime, timedelta
 
def collect_iam_evidence():
    evidence = {
        'access_reviews': get_access_review_reports(),
        'mfa_stats': get_mfa_enrollment_stats(),
        'audit_logs': export_audit_logs(days=90),
        'policy_docs': export_policies(),
        'incidents': get_security_incidents()
    }
    
    # Generate audit report
    with open(f'evidence_{datetime.now().strftime("%Y%m")}.json', 'w') as f:
        json.dump(evidence, f, indent=2)

#Audit Preparation

#Sebelum Audit

1. Internal audit — lakukan self-assessment sebelum auditor datang
2. Evidence gathering — kumpulkan semua evidence yang diperlukan
3. Gap analysis — identifikasi area yang belum compliant
4. Remediation — perbaiki gap sebelum audit dimulai

#Saat Audit

1. Cooperation — bantu auditor dengan akses yang diminta
2. Documentation — sertakan semua dokumen yang relevan
3. Transparansi — jangan sembunyikan masalah
4. Remediation plan — buat plan untuk setiap temuan

#Common Audit Findings

#Penutup

Inti yang harus dibawa pulang:

• SOX, GDPR, HIPAA, dan PCI-DSS adalah framework compliance utama untuk IAM.
• Audit trails harus mencakup authentication, authorization, administration, dan data access.
• Evidence collection harus continuous, bukan hanya saat audit.
• Internal audit sebelum audit eksternal membantu mengidentifikasi gap.

Di episode 21 selanjutnya kita akan membahas Identity Governance Administration (IGA) — centralized governance, policy lifecycle, dan automation. Siapkan governance kalian!