Apa Itu Software SSO? Glosarium Praktis untuk Pembeli Indonesia

Single sign-on (SSO) adalah kosakata yang tumpang tindih dengan MFA, IAM, IGA, PAM, dan CIAM sehingga sering membingungkan tim procurement Indonesia. Vendor mengganti label di tengah percakapan, RFP menggunakan istilah yang salah, dan yang dibeli sering kali bukan yang dimaksudkan. Glosarium ini mendefinisikan istilah inti yang harus diketahui pembeli Indonesia sebelum bertemu vendor dan memetakannya ke UU PDP, POJK serta regulasi sektor. Tujuannya bukan mengajarkan rekayasa identitas — melainkan menghapus ambiguitas dari percakapan pembelian.

Yang dicakup glosarium ini

• Single sign-on (SSO): definisi inti
• Autentikasi multifaktor (MFA) dan MFA adaptif
• Federasi, SAML, OIDC dan protokol di balik SSO
• SCIM dan otomasi siklus hidup
• IAM, IGA, PAM dan CIAM — bagaimana berhubungan
• Identitas tenaga kerja vs identitas pelanggan
• Autentikasi vs otorisasi
• Just-in-time access dan zero standing privilege
• Istilah umum di procurement Indonesia (UU PDP, POJK, ISO 27001, e-KTP/Dukcapil)
• Mitos umum dalam pembelian SSO

Single sign-on (SSO): definisi inti

SSO adalah pola autentikasi di mana pengguna login sekali ke penyedia identitas (IdP) dan memperoleh akses ke beberapa aplikasi tanpa autentikasi ulang. IdP menerbitkan asersi kriptografis (respons SAML atau token OIDC) yang dipercaya aplikasi hilir. Bagi pembeli Indonesia, efek praktisnya: satu tempat — bukan 50 — menentukan siapa yang login. Tempat itu menjadi titik bottleneck di mana MFA diberlakukan, durasi sesi ditetapkan, dan akses karyawan yang keluar diblokir. SSO bukan fitur tunggal; ia kerangka yang membuat segala hal lain (MFA, audit, offboarding) konsisten.

Autentikasi multifaktor (MFA) dan MFA adaptif

MFA adalah kontrol yang mensyaratkan dua atau lebih faktor sebelum akses diberikan. Faktor berasal dari tiga kategori: sesuatu yang Anda tahu (kata sandi), sesuatu yang Anda miliki (kunci hardware, aplikasi authenticator), sesuatu yang Anda adalah (biometrik). Pedoman dari otoritas data dan POJK 11/2022 untuk lembaga keuangan secara efektif mensyaratkan MFA pada sistem yang menyimpan data pribadi. SMS sebagai faktor tunggal makin tidak diterima — terutama di sektor keuangan.

MFA adaptif — juga disebut risk-based — menyesuaikan tantangan berdasarkan sinyal login. Login dari perangkat tepercaya di jaringan tepercaya dapat lolos diam-diam; IP asing atau perilaku anomali memicu step-up. Setiap platform mengimplementasikan berbeda: Entra ID memerlukan P2 untuk Identity Protection, Okta mengemas sebagai Adaptive MFA atau Identity Threat Protection, JumpCloud memakai Conditional Policies. Label kurang penting dibanding sinyal yang dievaluasi dan cara step-up disajikan ke pengguna.

Federasi, SAML, OIDC dan protokol di balik SSO

Federasi adalah praktik satu domain identitas mempercayai yang lain. SSO antara perusahaan dan aplikasi SaaS adalah federasi: aplikasi SaaS mempercayai IdP perusahaan untuk autentikasi pengguna. SAML 2.0 dan OpenID Connect (OIDC) adalah dua protokol federasi dominan. SAML adalah standar berbasis XML yang lebih tua, masih umum di SaaS enterprise; OIDC adalah protokol modern berbasis JSON Web Token, umum di aplikasi baru dan konteks mobile.

Bagi pembeli Indonesia, implikasi praktisnya: hampir semua SaaS modern mendukung satu atau kedua protokol. Pekerjaan di proyek SSO bukan desain protokol — melainkan konfigurasi tiap aplikasi dengan benar: di mana metadata IdP berada, atribut apa yang dipetakan (email, keanggotaan grup, manajer), apa yang terjadi saat pengguna login pertama kali. SCIM (selanjutnya) menangani komplemen siklus hidup.

SCIM dan otomasi siklus hidup

System for Cross-domain Identity Management (SCIM) adalah protokol yang mengotomasi pembuatan, pembaruan, dan penghapusan akun antara IdP dan SaaS hilir. Sementara SAML/OIDC menangani autentikasi, SCIM menangani provisioning. Bagi pembeli Indonesia, SCIM yang membuat janji offboarding nyata: ketika kejadian HRIS mengalir lewat IdP ke aplikasi SaaS, SCIM adalah kurir yang berkata 'pengguna ini telah keluar, nonaktifkan.'

Tidak semua SaaS mendukung SCIM. Ekor panjang aplikasi HR, akuntansi, dan sistem buatan lokal Indonesia (Talenta, Mekari, LinovHR, ERP nasional) sering tidak mendukungnya. Saat SCIM absen, alternatifnya: provisioning via script, integrasi kustom dari vendor, atau menerima deprovisioning manual dengan kontrol kompensasi terdokumentasi. Konfirmasi dukungan SCIM untuk 20 aplikasi teratas sebelum tanda tangan.

IAM, IGA, PAM dan CIAM — bagaimana berhubungan

Identity and access management (IAM) adalah payung yang mencakup identitas pengguna, autentikasi, otorisasi, dan siklus hidup. SSO adalah kapabilitas dalam IAM — kemungkinan yang paling terlihat oleh pengguna akhir. Kapabilitas besar lain: identity governance and administration (IGA), privileged access management (PAM), customer identity and access management (CIAM).

IGA mencakup tinjauan entitlement, sertifikasi akses, dan segregation of duties. Bagi pembeli Indonesia di bawah pengawasan OJK atau Kementerian Komunikasi, IGA adalah lapisan yang menghasilkan bukti untuk tinjauan akses triwulanan. Okta Identity Governance, Microsoft Entra ID Governance, dan SailPoint adalah platform umum. PAM mencakup akun privileged: kredensial dalam vault, perekaman sesi, akses just-in-time. CyberArk dan BeyondTrust dominan untuk PAM enterprise di Indonesia. CIAM mencakup identitas pelanggan — registrasi, MFA untuk pengguna akhir, manajemen consent. Ping, ForgeRock, dan Okta Customer Identity Cloud adalah opsi utama. Disiplin terpisah, sering berbagi platform tetapi jarang berbagi SKU.

Identitas tenaga kerja vs identitas pelanggan

Pembeli Indonesia harus selalu tahu di sisi mana mereka berada saat membahas SSO. Identitas tenaga kerja untuk karyawan, kontraktor, dan mitra — orang yang dikelola organisasi. Identitas pelanggan untuk pengguna akhir — konsumen terdaftar, bisnis yang membeli online, warga yang memakai portal pemerintah. Keduanya memiliki kebutuhan penskalaan, branding, dan consent yang sangat berbeda. CIAM harus menangani progressive profiling, consent marketing, dan alur login berbranding; tenaga kerja harus menangani integrasi HR, RBAC, dan audit admin. Mayoritas vendor utama menawarkan keduanya tetapi pada SKU dan arsitektur referensi berbeda. Memperlakukan keduanya sebagai proyek yang sama adalah kesalahan umum mid-market Indonesia — terutama di fintech dengan karyawan dan pengguna akhir.

Autentikasi vs otorisasi

Autentikasi mengonfirmasi siapa pengguna. Otorisasi memutuskan apa yang boleh dilakukan. SSO berada di kubu autentikasi; otorisasi ditangani model peran aplikasi hilir, mesin kebijakan platform (Conditional Access, Adaptive MFA, PingAccess), atau layanan otorisasi terpisah. Pembeli Indonesia sering menemukan perbedaan ini saat PoC — pengguna yang bisa login bukan otomatis bisa melakukan semua tindakan. Konfirmasi cara platform SSO Anda melewatkan atribut peran/grup ke aplikasi hilir, dan bagaimana aplikasi tersebut mengonsumsinya. Misalignment di sini sering memicu insiden 'SSO bekerja tapi izinnya salah.'

Just-in-time access dan zero standing privilege

Just-in-time (JIT) adalah praktik memberi izin elevasi untuk waktu terbatas, on demand. Zero standing privilege (ZSP) adalah prinsip lebih luas: tidak ada pengguna yang punya hak admin secara default; mereka meminta, mendapatkannya sementara, dan otomatis kehilangan. Bagi pembeli Indonesia di bawah POJK 11/2022, JIT dan ZSP makin menjadi bagian dari ekspektasi terhadap PAM. SSO adalah komponen, bukan keseluruhan jawaban — JIT biasanya memerlukan PIM atau PAM berlapis dengan IdP. Microsoft Entra ID Privileged Identity Management adalah pola umum di lingkungan Microsoft-heavy; CyberArk dan BeyondTrust menangani estate campuran.

Istilah umum di procurement Indonesia (UU PDP, POJK, ISO 27001, e-KTP/Dukcapil)

RFP Indonesia membawa kosakata berulang yang vendor harus siap jawab. UU PDP (UU 27/2022) mensyaratkan identifikasi unik, kontrol akses memadai, MFA pada sistem dengan data pribadi, dan log audit untuk investigasi insiden. POJK 11/2022 mengatur manajemen risiko TI bagi lembaga jasa keuangan. ISO/IEC 27001 dan SNI ISO 27001 sering muncul sebagai sertifikasi vendor minimum. Untuk sektor publik dan BUMN, PP 71/2019 dan PP 80/2019 mensyaratkan pengelolaan data publik tertentu di dalam negeri.

e-KTP/Dukcapil dan TTE bersertifikat bukan langsung produk SSO, tetapi muncul dalam diskusi identitas — untuk verifikasi pengguna akhir, KYC, dan sebagai bukti tambahan untuk pemulihan MFA kritikal. Konfirmasi selama procurement bahwa platform SSO Anda terintegrasi atau memiliki broker yang menangani validasi Dukcapil atau TTE saat dibutuhkan.

Mitos umum dalam pembelian SSO

Mitos pertama: 'Jika ada MFA, SSO tidak perlu.' Realitas: MFA per-aplikasi independen tetap meninggalkan offboarding terfragmentasi. SSO mensentralisasi autentikasi sehingga karyawan keluar kehilangan akses di satu tempat. Mitos kedua: 'SSO akan mencakup semua SaaS di hari pertama.' Realitas: 30-50 aplikasi terintegrasi rapi; 5-15 lainnya butuh kerja kustom. Mitos ketiga: 'Entra ID Free cukup untuk UU PDP.' Realitas: tanpa P1 (Conditional Access) atau P2 (Identity Protection), tidak bisa memaksakan MFA berbasis risiko atau per-aplikasi. Mitos keempat: 'SSO adalah proyek satu kali.' Realitas: komitmen operasional jangka panjang. Tiap SaaS baru, perubahan HRIS, dan rotasi MFA kembali ke platform. Perlakukan sebagai berkelanjutan, bukan satu kesepakatan.

Pelajari produk lebih lanjut

Menjembatani glosarium ke pembelian

Selain definisi, dua jembatan spesifik membantu tim procurement Indonesia di pertemuan vendor pertama. Pertama: minta vendor memetakan platform yang diajukan ke kuadran IAM/IGA/PAM/CIAM dan mengidentifikasi SKU yang mencakup tiap kapabilitas — agar diskusi tidak berseluncur antar disiplin dan biaya per kapabilitas terlihat. Kedua: minta tabel pemetaan UU PDP / POJK / sektor publik tertulis mencakup residensi data, kekuatan MFA, otomasi siklus hidup, retensi audit, dan format ekspor untuk DPO. Vendor yang menyerahkan tabel ini sesuai permintaan biasanya terintegrasi mulus dengan siklus audit Indonesia.