Tahun Depan Serangan Berbasis Identitas Melonjak

Tren Lain dalam Radar Keamanan

• Kematian VPN: VPN tradisional untuk akses jarak jauh merupakan kerentanan kritis yang menunggu untuk dieksploitasi. Penyerang telah menguasai teknik eksploitasi VPN, menggunakan pencurian kredensial dan perangkat yang disusupi untuk akses berkelanjutan. Menggunakan VPN untuk akses istimewa adalah risiko yang tidak dapat ditoleransi lagi.
• Veganism: Sebagai kekuatan kontra-budaya, tahun 2026 akan menyaksikan munculnya “AI veganism”, di mana karyawan atau pelanggan menghindari penggunaan kecerdasan buatan berdasarkan prinsip. Perusahaan harus menanggapi resistensi ini dengan menawarkan tata kelola yang transparan, alternatif yang mengutamakan manusia, dan opsi opt-out yang jelas.

Identitas Sebagai Fondasi Keamanan

Benang merah dari semua prediksi 2026 ini adalah Identitas. Permukaan serangan AI yang baru adalah:

• Masalah hak istimewa identitas.
• Peracunan akun adalah masalah verifikasi identitas.
• Sementara pelanggaran yang terlewat adalah masalah siklus hidup identitas.

Seiring meluasnya perimeter keamanan, organisasi harus mengadopsi postur keamanan yang mengutamakan identitas dengan menerapkan prinsip least privilege dan zero trust pada setiap identitas baik manusia maupun non-manusia.

Poin-Poin Kunci Memulai Postur Keamanan Identity-First

Strategi Identity-First didasarkan pada prinsip bahwa Identitas (manusia, mesin, aplikasi, dan agen AI) adalah perimeter keamanan baru.

1. Adopsi Zero Trust

Implementasi Zero Trust: Asumsikan bahwa tidak ada pengguna atau perangkat, baik di dalam maupun di luar jaringan, yang boleh dipercaya secara default. Setiap akses harus diverifikasi secara ketat.

• Penerapan: Verifikasi identitas setiap kali, validasi konteks akses (lokasi, perangkat, waktu), dan pastikan otorisasi sesuai kebijakan sebelum memberikan akses ke sumber daya.

2. Least Privilege (Hak Istimewa Paling Minim)

Jalankan Prinsip Least Privilege (PoLP): Berikan setiap identitas (termasuk agen AI dan akun layanan) hanya izin minimum yang mutlak diperlukan untuk menyelesaikan tugas spesifik mereka, tidak lebih.

• Praktik: Gunakan solusi Privileged Access Management (PAM) untuk mengelola dan memantau akun dengan hak istimewa tinggi secara ketat. Akses istimewa harus bersifat Just-in-Time (JIT) dan hanya diberikan untuk durasi waktu terbatas.

Segmentasi Hak Akses: Pisahkan jaringan dan sumber daya, memastikan identitas hanya dapat mengakses segmen yang relevan dengan pekerjaan mereka.

3. Manajemen dan Tata Kelola Identitas (Identity Governance)

Identifikasi Identitas “Hantu”: Lakukan audit menyeluruh terhadap sistem Identity and Access Management (IAM) Anda, termasuk direktori aktif lama.

Yakni untuk menemukan dan menghapus akun dormant (tidur) atau rogue (nakal) yang berpotensi menjadi “utang identitas.”

• Alat: Manfaatkan alat pemetaan dan analitik identitas berbasis grafik untuk memvisualisasikan semua hubungan akses dan mendeteksi anomali.

Perkuat Siklus Hidup Identitas (JML): Perbaiki proses Joiner-Mover-Leaver (JML) untuk memastikan hak akses dicabut atau diubah secara instan ketika seorang karyawan meninggalkan perusahaan atau berganti peran.

Autentikasi Kuat Wajib: Terapkan Multi-Factor Authentication (MFA) di mana saja, terutama untuk akun istimewa dan akses ke sistem kritikal.

4. Mengelola Identitas Mesin dan AI Baru

• Perlakukan Agen AI sebagai Identitas Istimewa: Berikan kontrol yang sama ketatnya pada AI agen dan akun layanan otomatis seperti yang Anda berikan pada administrator sistem manusia.
• Penerapan Context-Aware Access (Akses Sadar Konteks): Kontrol akses tidak hanya didasarkan pada siapa yang mengakses, tetapi juga mengapa (konteks tugas) dan bagaimana (metode yang digunakan). Ini sangat penting untuk mencegah masalah wakil yang bingung pada AI.
• Audit Real-time: Pantau dan audit semua aktivitas yang dilakukan oleh identitas mesin dan AI secara real-time.

5. Keamanan Aplikasi dan Pengurangan Risiko Penipuan

• Peningkatan Verifikasi Keuangan: Terapkan uji tuntas yang lebih ketat dan pemeriksaan keyakinan identitas untuk setiap proses otomatis yang meminta perubahan pada informasi pembayaran atau biller (pencegahan account poisoning).
• Gantikan VPN Tradisional: Pindahkan akses remote istimewa dari VPN tradisional ke solusi Zero Trust Network Access (ZTNA). Ini menyediakan koneksi yang dienkripsi dan terotentikasi ke sumber daya spesifik, bukan ke seluruh jaringan.

Dengan menggeser fokus dari perimeter jaringan ke identitas, perusahaan dapat membangun pertahanan yang lebih tangguh dan adaptif terhadap evolusi serangan modern.

Sumber berita:

WeLiveSecurity