Apa Itu Zero Trust Security? Panduan untuk Perusahaan

Serangan siber kini tidak selalu datang dari luar jaringan. Karyawan bekerja dari rumah, kantor cabang, bahkan kafe. Perangkat pribadi ikut mengakses data perusahaan setiap hari, dan firewall di gerbang kantor saja tidak lagi cukup melindungi semuanya.

Zero trust adalah pendekatan keamanan yang mengasumsikan tidak ada pengguna atau perangkat yang otomatis dipercaya, baik dari dalam maupun luar jaringan perusahaan. Setiap permintaan akses harus diverifikasi lebih dulu: siapa penggunanya, perangkat apa yang dipakai, dan data apa yang diminta. Artikel ini membahas prinsip dasar zero trust, empat pilar utamanya, perbedaannya dengan keamanan perimeter tradisional, serta langkah praktis menerapkannya secara bertahap di perusahaan Anda.

Zero Trust Adalah: Definisi dan Prinsip Dasar

Istilah zero trust pertama kali dipopulerkan oleh John Kindervag, analis Forrester Research, sekitar tahun 2010. Konsepnya sederhana namun mengubah cara banyak perusahaan memandang keamanan siber: never trust, always verify, atau jangan pernah percaya, selalu verifikasi.

Prinsip ini kemudian dirumuskan lebih formal oleh National Institute of Standards and Technology (NIST) Amerika Serikat lewat dokumen NIST SP 800-207 pada tahun 2020. Menurut NIST, zero trust adalah kumpulan prinsip keamanan yang memindahkan fokus pertahanan dari perimeter jaringan statis ke pengguna, perangkat, dan sumber daya secara individual. Lokasi bukan lagi ukuran kepercayaan.

Seorang karyawan yang login dari dalam kantor tidak otomatis lebih dipercaya dibanding yang login dari luar. Setiap permintaan akses dievaluasi berdasarkan identitas, kondisi perangkat, dan konteks, dan itu dilakukan setiap kali, bukan hanya sekali di awal sesi.

Zero Trust vs Perimeter Security: Apa Bedanya?

Model keamanan tradisional sering disebut perimeter security atau castle-and-moat. Analoginya seperti benteng dengan parit di sekelilingnya: begitu seseorang berhasil masuk lewat gerbang utama, ia relatif bebas bergerak di dalam. Firewall dan VPN berperan sebagai gerbang tunggal itu.

Masalahnya, begitu penyerang menembus gerbang, misalnya lewat kredensial karyawan yang bocor, mereka bisa bergerak leluasa ke seluruh sistem. Zero trust menghilangkan asumsi itu. Tidak ada area yang otomatis dianggap aman, termasuk jaringan internal sekalipun.

Berikut perbandingan singkat keduanya:

Aspek	Perimeter Security	Zero Trust Security
Asumsi dasar	Jaringan internal dianggap aman	Tidak ada yang otomatis dipercaya
Titik kontrol	Gerbang luar (firewall, VPN)	Setiap permintaan akses, di titik mana pun
Verifikasi	Sekali di awal sesi	Berkelanjutan, pada tiap akses
Pergerakan setelah masuk	Relatif bebas (lateral movement)	Dibatasi per segmen (micro-segmentation)
Paling cocok untuk	Kantor tunggal, kerja di satu lokasi	Hybrid work, multi-cabang, lingkungan cloud

Empat Pilar Utama Zero Trust Security

Meski penerapannya bisa kompleks, zero trust umumnya dibangun di atas empat pilar utama. Keempatnya saling terkait dan idealnya diterapkan berdampingan, bukan satu per satu secara terpisah tanpa koordinasi.

1. Identity (Identitas)

Pilar ini memastikan hanya pengguna yang benar-benar berwenang yang bisa mengakses sistem. Implementasinya mencakup autentikasi multi-faktor (MFA), single sign-on (SSO), dan kontrol akses berbasis peran atau role-based access control. Semakin sedikit hak akses yang diberikan sesuai prinsip least privilege, semakin kecil potensi kerusakan jika satu akun disusupi.

Pilar identitas biasanya menjadi titik awal implementasi zero trust karena dampaknya paling cepat terasa. Anda bisa membaca lebih lanjut tentang apa itu SSO (Single Sign-On) untuk memahami bagaimana identitas terpusat menopang fondasi zero trust di perusahaan.

2. Device (Perangkat)

Perangkat yang mengakses data perusahaan, baik laptop kantor, ponsel pribadi, maupun tablet, perlu diverifikasi kondisinya sebelum diberi akses. Perangkat yang belum diperbarui, tidak terenkripsi, atau berstatus tidak dikenal seharusnya tidak otomatis mendapat akses penuh. Manajemen perangkat memantau status ini secara berkelanjutan, bukan hanya saat pertama kali didaftarkan.

3. Network (Jaringan)

Alih-alih satu jaringan besar yang terbuka begitu seseorang berhasil masuk, zero trust menerapkan micro-segmentation. Jaringan dibagi menjadi segmen-segmen kecil dengan kontrol akses masing-masing. Jika satu segmen disusupi, penyerang tidak bisa langsung bergerak ke segmen lain, sehingga dampaknya bisa dibatasi sejak awal.

4. Data

Pilar terakhir berfokus pada data itu sendiri: klasifikasi tingkat sensitivitas, enkripsi saat disimpan maupun dikirim, dan kontrol siapa yang boleh mengakses data mana. Perusahaan perlu tahu di mana data pentingnya berada, baik di server on-premise maupun di cloud. Ini juga relevan ketika perusahaan mengelola data pelanggan dalam skala besar, misalnya lewat cloud database yang terdistribusi di banyak lokasi.

Mengapa Zero Trust Penting bagi Perusahaan di Indonesia

Beberapa tren membuat zero trust semakin relevan, bukan sekadar istilah teknologi dari luar negeri:

• Kerja hybrid dan remote menjadi kebiasaan permanen di banyak perusahaan, bukan lagi pengecualian musiman.

• Bisnis dengan banyak cabang atau outlet perlu mengelola akses karyawan frontline dari berbagai lokasi sekaligus.

• Serangan ransomware dan pencurian kredensial terus menjadi ancaman utama, sering menyasar akun dengan hak akses yang terlalu luas.

• Regulasi perlindungan data pribadi di Indonesia menuntut perusahaan menerapkan kontrol keamanan data yang lebih ketat.

• Adopsi cloud dan aplikasi SaaS membuat data perusahaan tersebar di banyak sistem, bukan hanya di satu server kantor.

Untuk perusahaan yang sedang menjalani transformasi digital, termasuk yang mulai mengadopsi AI, zero trust bukan proyek terpisah. Ia menjadi fondasi keamanan yang menopang implementasi sistem baru, mulai dari ERP hingga aplikasi kolaborasi dan HR. Pelajari juga panduan adopsi AI untuk bisnis agar strategi keamanan dan inovasi bisa berjalan beriringan.

Langkah Implementasi Zero Trust Secara Bertahap

Menerapkan zero trust tidak perlu dilakukan sekaligus. Berikut tahapan yang realistis untuk kebanyakan perusahaan:

1. Petakan aset dan alur akses. Identifikasi siapa mengakses apa: aplikasi, data, dan sistem mana yang paling kritis, serta siapa saja yang benar-benar membutuhkannya.

2. Perkuat identitas lebih dulu. Terapkan MFA dan SSO untuk seluruh akun, terutama akun dengan akses admin atau data sensitif. Ini biasanya langkah dengan dampak keamanan paling cepat terasa.

3. Terapkan manajemen perangkat. Pastikan hanya perangkat yang memenuhi standar keamanan, seperti sudah diperbarui, terenkripsi, dan terdaftar, yang bisa mengakses sistem perusahaan.

4. Segmentasi jaringan secara bertahap. Mulai dari sistem paling kritis, pisahkan akses agar tidak semua orang punya jalur yang sama ke semua data.

5. Klasifikasikan dan lindungi data. Tentukan data mana yang paling sensitif, lalu terapkan enkripsi dan kontrol akses sesuai levelnya.

6. Pantau dan sesuaikan terus-menerus. Zero trust bukan proyek yang selesai sekali jalan. Pantau log akses, evaluasi kebijakan secara berkala, dan sesuaikan seiring pertumbuhan bisnis Anda.

Banyak perusahaan memulai dari pilar identitas karena dampaknya paling terasa dengan investasi yang relatif terjangkau, baru kemudian melanjutkan ke pilar perangkat, jaringan, dan data.

Tantangan Umum dalam Implementasi Zero Trust

Beberapa hambatan yang sering dihadapi perusahaan saat menerapkan zero trust:

• Sistem lama (legacy). Aplikasi lawas mungkin belum mendukung autentikasi modern seperti SSO atau MFA.

• Resistensi pengguna. Karyawan terbiasa dengan akses cepat tanpa verifikasi berlapis, sehingga perubahan ini perlu edukasi bertahap.

• Kompleksitas multi-vendor. Zero trust menyentuh banyak sistem sekaligus, mulai dari identitas, perangkat, jaringan, hingga aplikasi bisnis.

Solusinya bukan menerapkan semua sekaligus, melainkan memilih platform yang bisa menyatukan kontrol ini dalam satu dasbor. Dengan begitu, tim IT tidak perlu mengelola belasan alat keamanan yang terpisah-pisah.

FAQ

Apa perbedaan zero trust dan VPN?

VPN memberi akses ke seluruh jaringan begitu terhubung, mirip kunci untuk gerbang utama. Zero trust memverifikasi setiap permintaan akses secara spesifik ke aplikasi atau data tertentu, bukan ke seluruh jaringan sekaligus.

Apakah zero trust hanya untuk perusahaan besar?

Tidak. Prinsip dasarnya, seperti MFA dan kontrol akses berbasis peran, bisa diterapkan bisnis kecil dan menengah. Yang biasanya disesuaikan dengan ukuran organisasi hanyalah skala dan kompleksitas implementasinya.

Berapa lama implementasi zero trust membutuhkan waktu?

Lamanya bergantung pada ukuran dan kompleksitas sistem perusahaan Anda. Karena sifatnya bertahap, banyak perusahaan mulai merasakan manfaat pada pilar identitas dalam hitungan minggu, sementara pilar jaringan dan data biasanya butuh waktu lebih panjang.

Apakah zero trust menggantikan firewall?

Tidak sepenuhnya. Firewall tetap punya peran, tetapi zero trust menambah lapisan verifikasi di level identitas, perangkat, dan data yang tidak bisa diandalkan hanya dari firewall perimeter saja.

Dari mana sebaiknya perusahaan memulai penerapan zero trust?

Sebagian besar konsultan keamanan menyarankan memulai dari pilar identitas, seperti menerapkan SSO dan MFA. Dampaknya cepat terasa dan pilar ini menjadi fondasi yang memudahkan penerapan pilar lainnya.

Kesimpulan

Zero trust adalah pergeseran cara berpikir, dari "percaya dulu, verifikasi belakangan" menjadi "verifikasi dulu, baru beri akses". Pendekatan ini semakin relevan seiring kerja hybrid, ekspansi multi-cabang, dan adopsi cloud yang terus tumbuh di banyak perusahaan Indonesia.

Anda tidak perlu menerapkan semua pilar sekaligus. Mulai dari identitas, perkuat manajemen perangkat, lalu lanjutkan ke segmentasi jaringan dan perlindungan data secara bertahap. Yang terpenting, jadikan zero trust sebagai proses yang terus berjalan, bukan proyek yang selesai dalam satu kali implementasi.

Amankan Perusahaan Anda dengan SealSuite

Menerapkan zero trust butuh fondasi yang tepat: identitas terpusat, single sign-on, dan manajemen perangkat dalam satu platform yang sama. SealSuite dirancang untuk membantu perusahaan di Indonesia menerapkan kontrol keamanan zero trust tanpa harus mengelola banyak alat yang terpisah-pisah. Dari autentikasi berlapis hingga visibilitas perangkat yang mengakses sistem Anda, semuanya bisa dikelola secara terpusat.

Hubungi tim Virtuenet via WhatsApp atau virtuenet.id/contact untuk konsultasi dan demo gratis.

Referensi

• NIST (Zero Trust Cybersecurity: Never Trust, Always Verify) - https://www.nist.gov/blogs/taking-measure/zero-trust-cybersecurity-never-trust-always-verify

• NIST SP 800-207 (Zero Trust Architecture) - https://csrc.nist.gov/pubs/sp/800/207/final

• Forrester (A Look Back At Zero Trust: Never Trust, Always Verify) - https://www.forrester.com/blogs/a-look-back-at-zero-trust-never-trust-always-verify/