Image credit: Freepix
Zero Trust Verifikasi Dulu Akses Kemudian – Di tengah kompleksitas dunia digital saat ini, di mana karyawan bekerja dari mana saja menggunakan berbagai perangkat batas keamanan tradisional sudah tidak lagi relevan.
Dulu, kita percaya pada model “kastil dan parit,” di mana segala sesuatu di dalam jaringan dianggap aman. Namun, model itu sudah usang. Dunia keamanan siber kini didominasi oleh filosofi yang lebih ketat, yaitu Zero Trust (Nol Kepercayaan).
Apa Itu Zero Trust?
Secara sederhana, Zero Trust berarti “Jangan pernah percaya, selalu verifikasi.”
Prinsip ini mengasumsikan bahwa tidak ada pengguna, perangkat, atau sistem baik di dalam maupun di luar jaringan yang otomatis dapat dipercaya. Setiap upaya akses harus melewati pemeriksaan yang ketat.
Zero Trust adalah pendekatan berlapis yang memastikan setiap permintaan akses, terlepas dari asalnya, harus melalui tiga tahap penting:
- Diautentikasi (Authenticated): Memastikan identitas pengguna atau perangkat adalah benar. (Contoh: menggunakan username dan kata sandi, serta MFA).
- Diotorisasi (Authorized): Memastikan pengguna atau perangkat tersebut memiliki izin yang tepat untuk mengakses sumber daya spesifik yang diminta.
- Divalidasi (Validated): Memeriksa konteks akses, seperti lokasi, waktu, kesehatan perangkat, dan perilaku pengguna, sebelum akses diberikan.
Ketiga tahap ini harus dilakukan secara konsisten dan terus-menerus, terlepas dari lokasi pengguna. Ini berarti karyawan yang login dari kantor atau yang login dari rumah akan diperiksa dengan standar keamanan yang sama.
Mengapa Zero Trust Penting
Model Zero Trust menjadi penting karena:
- Pekerja Jarak Jauh: Melindungi data perusahaan dari mana pun karyawan bekerja.
- Mencegah Pergerakan Lateral: Jika akun dibobol, Zero Trust akan membatasi pergerakan hacker di dalam jaringan karena mereka harus memverifikasi ulang setiap langkah.
- Melindungi dari Ancaman Internal: Mencegah karyawan atau pihak internal yang berniat jahat mengakses data yang bukan merupakan bagian dari pekerjaan mereka (Least Privilege).
Dengan menerapkan Zero Trust, perusahaan membangun pertahanan yang tangguh di sekitar setiap sumber daya, bukan hanya di sekitar batas luar jaringan.
Langkah Praktis Menerapkan Zero Trust di Perusahaan
Menerapkan Zero Trust adalah perjalanan, bukan tujuan akhir. Berikut adalah langkah-langkah praktis yang dapat dilakukan perusahaan untuk memulai dan memperkuat postur keamanan mereka:
1. Wajibkan Otentikasi Multi-Faktor (MFA)
MFA adalah pondasi dari Zero Trust. Setiap akses ke sistem atau aplikasi perusahaan, tanpa terkecuali, harus dilindungi oleh MFA.
- Terapkan Universal: Mulai dari email, cloud services, hingga sistem operasional harian (ERP, CRM, payroll).
- Pilih yang Kuat: Gunakan aplikasi authenticator atau passkey yang lebih aman daripada kode via SMS yang mudah disusupi.
2. Terapkan Prinsip Hak Akses Paling Rendah (Least Privilege)
Seorang pengguna atau perangkat hanya boleh diberikan hak akses seminimal mungkin yang diperlukan untuk menjalankan tugasnya, dan tidak lebih.
- Batasi Izin: Seorang staf pemasaran tidak perlu akses ke server keuangan. Jika pun perlu, akses tersebut harus bersifat sementara (Just-in-Time Access).
- Audit Berkala: Tinjau izin akses pengguna secara teratur, hapus akun yang tidak aktif, dan pastikan tidak ada akun yang memiliki hak istimewa berlebihan (overprivileged).
|
Baca juga: Langkah Menghadapi Pelanggaran Data |
3. Segmentasi Mikro Jaringan (Micro-Segmentation)
Zero Trust menghilangkan gagasan jaringan sebagai satu kesatuan yang terpercaya. Jaringan harus dipecah menjadi zona-zona kecil (micro-segments) yang terpisah.
Isolasi Risiko: Jika hacker berhasil membobol satu segmen, mereka tidak dapat dengan mudah bergerak ke segmen lain (misalnya, dari jaringan guest ke server data). Setiap segmen memerlukan autentikasi baru.
4. Pemantauan Berkelanjutan (Continuous Monitoring)
Dalam Zero Trust, kepercayaan tidak pernah diberikan secara permanen; setiap sesi akses harus dinilai ulang terus-menerus.
- Pantau Perilaku: Gunakan tool pemantauan untuk mendeteksi anomali. Misalnya, jika seorang karyawan yang biasanya login dari Jakarta tiba-tiba mencoba login dari luar negeri dan mengunduh data dalam jumlah besar, sistem harus segera memblokir atau menantang ulang akses tersebut.
- Kesehatan Perangkat: Verifikasi kesehatan setiap perangkat yang mengakses jaringan (apakah software sudah update, apakah ada malware) sebelum mengizinkan akses.
5. Fokus pada Keamanan Berpusat pada Identitas
Alih-alih mengamankan firewall fisik, fokuslah pada pengelolaan identitas pengguna dan perangkat secara sentral. Semua kebijakan harus berputar di sekitar siapa dan apa yang meminta akses, bukan di mana mereka berada.
Dengan menerapkan langkah-langkah ini, perusahaan dapat membangun pertahanan yang tangguh di sekitar setiap sumber daya, bukan hanya di sekitar batas luar jaringan, sehingga risiko pelanggaran data dapat diminimalisir secara signifikan.
Sumber berita:
