46
Pedoman Keamanan Siber Penyelenggara Perdagangan Aset Keuangan Digital di Indonesia
terhadap sesi pengguna perlu dilakukan secara menyeluruh, dengan mempertimbangkan hal-hal berikut: a. Timeout Sesi Otomatis Organisasi harus menerapkan mekanisme auto-session timeout yang memutus koneksi atau mengakhiri sesi pengguna secara otomatis setelah periode tidak aktif tertentu (misalnya 15–30 menit untuk sistem kritikal). Tujuannya adalah untuk mencegah pihak tidak berwenang mengakses sistem dari perangkat yang ditinggalkan dalam keadaan login . Timeout juga sebaiknya disesuaikan berdasarkan tingkat sensitivitas data yang diakses dan risiko operasional yang terkait. b. Pengamanan dan Pengelolaan Sesi Token Token sesi (misalnya Java Web Token (JWT), OAuth token) yang digunakan untuk mengautentikasi sesi pengguna harus: 1 Disimpan secara aman (misalnya di HTTP only secure cookies untuk aplikasi web ). 2 Diatur agar memiliki waktu kadaluarsa ( token expiration ) yang wajar dan proporsional terhadap tingkat risikonya. 3 Dibatalkan ( revoked ) secara otomatis saat pengguna keluar dari sistem ( logout ), atau saat terjadi perubahan kredensial seperti pembaruan kata sandi, rotasi token, atau terdeteksi anomali pada sesi. U ntuk mencegah penyalahgunaan token yang telah dicuri, sistem juga harus mampu mengenali dan memutus sesi aktif secara paksa jika ditemukan aktivitas mencurigakan atau bila terdapat laporan akun dikompromikan.
Made with FlippingBook - professional solution for displaying marketing and sales documents online