exploringdatascience.com – Di masa lalu, keamanan jaringan perusahaan masih mengandalkan konsep “kastil dan parit”: selama Anda berada di dalam tembok (VPN, firewall perimeter), Anda dianggap aman dan bisa dipercaya. Namun, sejak pandemi COVID-19 memaksa jutaan karyawan bekerja dari rumah, serangan ransomware meningkat tajam, dan serangan supply-chain (seperti SolarWinds dan Log4j) terus bermunculan, model perimeter-based itu sudah tidak lagi relevan.
Lahir lah paradigma baru: Zero-Trust Security — “Jangan pernah percaya, selalu verifikasi.”
Apa Itu Zero-Trust Security?
Zero-Trust adalah filosofi dan arsitektur keamanan yang mengasumsikan tidak ada pengguna, perangkat, atau layanan yang otomatis dipercaya, baik berada di dalam maupun di luar jaringan organisasi. Setiap akses harus diverifikasi ulang secara terus-menerus berdasarkan:
- Identitas pengguna
- Kesehatan dan postur keamanan perangkat
- Konteks permintaan (lokasi, waktu, perilaku aneh, dll.)
- Sensitivitas data atau sistem yang diakses
Prinsip inti Zero-Trust yang populer dirangkum oleh John Kindervag (pencetus istilah ini saat di Forrester tahun 2010) menjadi tiga kata: Never Trust, Always Verify, Assume Breach.
Pilar Utama Zero-Trust
- Identitas sebagai Perimeter Baru Menggunakan Identity & Identity Access Management (IAM) modern seperti MFA, SSO, dan risk-based authentication (contoh: Okta, Microsoft Azure AD, Google BeyondCorp).
- Micro-Segmentation Jaringan dibagi menjadi segmen-segmen kecil sehingga meski satu segmen dibobol, penyerang tidak bisa bergerak lateral (lateral movement) dengan mudah.
- Least Privilege & Just-in-Time Access Pengguna hanya diberi hak akses yang benar-benar dibutuhkan, dan hanya untuk waktu tertentu saja.
- Continuous Monitoring & Analytics Semua trafik dan aktivitas dipantau secara real-time menggunakan SIEM, UEBA (User and Entity Behavior Analytics), dan machine learning untuk mendeteksi anomali.
- Device Compliance & Security Posture Perangkat harus memenuhi syarat (patch terbaru, EDR terinstall, enkripsi disk, dll.) sebelum diizinkan terhubung.
- Encryption Everywhere Semua data, baik in-transit maupun at-rest, harus dienkripsi.
Contoh Implementasi Zero-Trust di Dunia Nyata
- Google → BeyondCorp (sejak 2009) adalah salah satu implementasi Zero-Trust paling awal dan sukses. Semua karyawan Google mengakses sumber daya perusahaan melalui proxy terpercaya, tanpa VPN tradisional.
- Microsoft → Mempromosikan Zero-Trust secara agresif sejak 2020 dan mengintegrasikannya ke dalam Microsoft 365 Defender, Azure AD, dan Microsoft Defender for Endpoint.
- Pemerintah AS → Presiden Biden mengeluarkan Executive Order 14028 (2021) yang mewajibkan semua agensi federal beralih ke arsitektur Zero-Trust paling lambat 2024.
- Perusahaan Indonesia → Beberapa bank besar dan BUMN sudah mulai mengadopsi (contoh: BCA, Bank Mandiri, Telkom) dengan memanfaatkan solusi dari Palo Alto Prisma, Zscaler, Cloudflare, atau Cisco Duo.
Keuntungan Zero-Trust
- Mengurangi dampak kebocoran data (data breach) karena penyerang sulit bergerak lateral
- Mendukung kerja remote & hybrid secara aman
- Lebih siap menghadapi serangan supply-chain dan insider threat
- Memudahkan compliance terhadap regulasi (GDPR, PDP Law Indonesia, ISO 27001, dll.)
Tantangan Adopsi Zero-Trust
- Biaya dan kompleksitas tinggi di awal
- Membutuhkan maturitas IAM dan visibilitas aset yang baik
- Kultur “semua harus diverifikasi” bisa memperlambat produktivitas jika tidak dirancang dengan baik
- Legacy system yang sulit diintegrasikan
Langkah Praktis Memulai Zero-Trust (untuk Organisasi Indonesia)
- Petakan semua aset kritis, data sensitif, dan alur akses saat ini
- Perkuat identitas (MFA everywhere, passwordless jika memungkinkan)
- Terapkan micro-segmentation (bisa dimulai dari data center atau cloud)
- Gunakan SASE (Secure Access Service Edge) atau ZTNA (Zero-Trust Network Access) untuk karyawan remote
- Bangun SOC dengan kemampuan continuous monitoring
- Lakukan secara bertahap (mulai dari data paling kritis)
Zero-Trust bukan lagi pilihan, melainkan keharusan di era cloud, IoT, dan kerja remote, dan serangan siber yang semakin canggih. Konsep “perimeter” sudah mati — yang hidup sekarang adalah identitas, konteks, dan verifikasi berkelanjutan.
