Menerapkan Keamanan Zero Trust untuk Usaha Kecil dan Menengah

Zero Trust dalam Bahasa Sederhana

Zero trust adalah filosofi keamanan yang dibangun di atas premis sederhana: tidak ada pengguna, perangkat, atau sistem yang harus dipercaya secara otomatis, terlepas dari apakah berada di dalam atau di luar jaringan perusahaan. Dalam model zero trust, setiap permintaan akses diverifikasi, setiap sesi divalidasi, dan setiap pengguna hanya diberikan tingkat akses minimum yang diperlukan untuk melakukan tugas spesifik mereka. Ini merupakan pergeseran mendasar dari model keamanan tradisional yang mengasumsikan segala sesuatu di dalam perimeter jaringan dapat dipercaya dan segala sesuatu di luar bersifat hostile.

Konsep ini bisa terasa menakutkan bagi usaha kecil dan menengah yang mengasosiasikan istilah tersebut dengan perombakan keamanan enterprise besar yang menghabiskan biaya jutaan dolar. Pada kenyataannya, zero trust bukanlah produk tunggal atau proyek satu kali; ini adalah serangkaian prinsip yang dapat diadopsi secara bertahap, dimulai dari langkah-langkah yang paling berdampak dan terjangkau, lalu membangun kecanggihan dari waktu ke waktu. Banyak teknologi inti yang diperlukan untuk zero trust, seperti multi-factor authentication dan role-based access control, tersedia dengan biaya rendah atau tanpa biaya melalui langganan perangkat lunak bisnis yang ada.

Kekuatan pendorong di balik adopsi zero trust adalah pengakuan bahwa lingkungan bisnis modern telah melarutkan perimeter jaringan tradisional. Karyawan bekerja dari rumah, dari kafe, dan dari lokasi klien. Aplikasi bisnis telah berpindah dari server on-premise ke platform cloud. Data mengalir antara sistem internal, aplikasi SaaS, dan sistem mitra eksternal. Dalam lingkungan ini, mempertahankan perimeter jaringan tetap ibarat membangun tembok kastil mengelilingi kota yang sudah berkembang jauh melampaui batas aslinya. Zero trust menerima kenyataan ini dan berfokus pada melindungi sumber daya individual, bukan jaringan secara keseluruhan.

Bagi UKM, perjalanan zero trust bukan tentang mencapai ideal teoretis verifikasi sempurna untuk setiap interaksi mikro. Ini tentang secara sistematis mengurangi risiko dengan menangani vektor serangan paling umum yang digunakan oleh penyerang untuk mengompromikan sistem bisnis. Dengan berfokus pada identitas, akses, kesehatan perangkat, dan pemantauan, bahkan bisnis kecil dengan sumber daya TI terbatas dapat meningkatkan postur keamanan mereka secara dramatis.

Mengapa Keamanan Perimeter Tidak Lagi Memadai

Keamanan perimeter tradisional beroperasi pada prinsip kastil-dan-parit: bangun pertahanan kuat di batas jaringan Anda, dan begitu masuk, pengguna dan perangkat sebagian besar bebas bergerak dan mengakses sumber daya. Model ini bekerja cukup baik ketika semua pengguna berada di kantor, semua aplikasi berjalan di server lokal, dan batas jaringan didefinisikan dengan jelas oleh infrastruktur fisik. Firewall, VPN, dan sistem deteksi intrusi menjaga perimeter, dan siapa pun yang melewatinya dianggap terpercaya.

Masalah dengan model ini menjadi jelas ketika bisnis mengadopsi layanan cloud, perangkat mobile, dan kerja jarak jauh. Masing-masing tren ini melubangi perimeter. Aplikasi cloud diakses langsung melalui internet, melewati firewall perusahaan sepenuhnya. Perangkat mobile terhubung dari jaringan yang tidak terpercaya. Pekerja jarak jauh mengakses sistem sensitif dari jaringan rumah yang mungkin berbagi dengan puluhan perangkat konsumen yang tidak terkelola. Perimeter yang pernah mendefinisikan batas kepercayaan telah menjadi begitu berpori hingga menjadi tidak relevan.

Penyerang telah mengeksploitasi kelemahan ini dengan efektivitas yang menghancurkan. Pencurian kredensial melalui serangan phishing memungkinkan penyerang menyamar sebagai pengguna legitimate dan berjalan masuk melalui pintu depan perimeter jaringan. Begitu masuk, model kepercayaan datar dari jaringan tradisional memungkinkan pergerakan lateral, di mana penyerang berpindah dari sistem yang awalnya dikompromikan ke target yang semakin berharga. Banyak pelanggaran data paling merusak dalam beberapa tahun terakhir mengikuti pola yang persis sama: kredensial dikompromikan, diikuti pergerakan lateral, diikuti eksfiltrasi data atau penerapan ransomware.

Pergeseran ke zero trust tidak berarti meninggalkan pertahanan perimeter sepenuhnya. Firewall dan alat keamanan jaringan masih memainkan peran berharga dalam mengurangi permukaan serangan dan menyaring ancaman yang diketahui. Namun, mereka tidak bisa lagi menjadi garis pertahanan utama. Zero trust menambahkan lapisan verifikasi tambahan di setiap titik di mana pengguna atau perangkat mencoba mengakses sumber daya, sehingga meskipun perimeter diterobos, penyerang menghadapi hambatan tambahan di setiap langkah.

Mulai dengan Identitas: MFA dan Single Sign-On

Identitas adalah fondasi keamanan zero trust, dan juga merupakan titik awal yang paling mudah diakses bagi usaha kecil dan menengah. Jika Anda hanya menerapkan satu kontrol zero trust, itu harus multi-factor authentication untuk semua akun pengguna. MFA mengharuskan pengguna menyediakan dua atau lebih bentuk verifikasi saat login, biasanya sesuatu yang mereka ketahui (kata sandi) dikombinasikan dengan sesuatu yang mereka miliki (telepon atau token perangkat keras) atau sesuatu tentang diri mereka (biometrik). Langkah sederhana ini memblokir sebagian besar serangan berbasis kredensial, karena kata sandi yang dicuri saja tidak lagi cukup untuk mendapatkan akses.

Tidak semua implementasi MFA sama amannya. Kode berbasis SMS, meskipun lebih baik dari autentikasi hanya kata sandi, rentan terhadap serangan SIM-swapping dan intersepsi. Aplikasi authenticator yang menghasilkan one-time password berbasis waktu secara signifikan lebih aman. Kunci keamanan perangkat keras seperti YubiKey memberikan perlindungan terkuat terhadap serangan phishing, karena mereka memverifikasi legitimasi situs web atau aplikasi sebelum melepaskan kredensial autentikasi. Bagi UKM, aplikasi authenticator merupakan keseimbangan terbaik antara keamanan, biaya, dan kenyamanan pengguna untuk sebagian besar pengguna, dengan kunci perangkat keras dicadangkan untuk akun berhak istimewa tinggi seperti administrator.

Single sign-on melengkapi MFA dengan mengurangi jumlah kredensial terpisah yang harus dikelola pengguna. Dengan SSO, pengguna mengautentikasi sekali melalui penyedia identitas pusat dan mendapatkan akses ke semua aplikasi yang diotorisasi tanpa memasukkan kembali kredensial. Ini meningkatkan keamanan dan pengalaman pengguna. Dari perspektif keamanan, SSO mengurangi risiko penggunaan ulang kata sandi di beberapa aplikasi dan menyediakan titik kontrol tunggal untuk menerapkan MFA, kebijakan kata sandi, dan pencabutan akses. Dari perspektif pengalaman pengguna, ini menghilangkan frustrasi mengelola puluhan login terpisah.

Menerapkan SSO melalui penyedia identitas modern juga memberikan visibilitas organisasi ke aplikasi mana yang diakses pengguna, kapan mereka mengaksesnya, dan dari mana. Visibilitas ini adalah prasyarat untuk kapabilitas zero trust yang lebih canggih seperti kebijakan akses bersyarat dan deteksi anomali. Penyedia identitas populer seperti Microsoft Entra ID, Google Workspace, dan Okta menawarkan kapabilitas SSO dan MFA yang sangat terjangkau untuk anggaran UKM dan dapat dikonfigurasi tanpa keahlian keamanan yang mendalam.

Prinsip Hak Istimewa Minimum dan Akses Bersyarat

Prinsip hak istimewa minimum menetapkan bahwa setiap pengguna harus memiliki akses hanya ke sumber daya dan kapabilitas yang diperlukan untuk melakukan fungsi pekerjaan spesifik mereka, dan tidak lebih. Prinsip ini fundamental bagi zero trust karena membatasi radius ledakan dari setiap insiden keamanan. Jika akun pengguna dikompromikan, penyerang hanya dapat mengakses apa yang diotorisasi untuk pengguna tersebut. Jika hak istimewa minimal dan terdefinisi dengan baik, kerusakannya terkendali. Jika pengguna memiliki akses yang luas dan tidak perlu, penyerang memiliki playground yang jauh lebih besar.

Menerapkan hak istimewa minimum memerlukan tinjauan sistematis hak akses di semua sistem bisnis. Banyak organisasi mengakumulasi izin berlebihan seiring waktu ketika karyawan berganti peran, mengambil tanggung jawab sementara, atau menerima pemberian akses yang tidak pernah dicabut. Model role-based access control mendefinisikan set izin standar untuk setiap fungsi pekerjaan dan menetapkan pengguna ke peran, bukan memberikan izin individual. Tinjauan akses rutin, idealnya setiap kuartal, memastikan izin tetap selaras dengan tanggung jawab pekerjaan saat ini. Pengguna yang telah berganti peran harus dicabut izin lama mereka, bukan sekadar ditambahkan dengan yang baru.

Kebijakan akses bersyarat menambahkan kecerdasan sadar konteks pada keputusan akses. Alih-alih memberikan atau menolak akses hanya berdasarkan siapa pengguna tersebut, akses bersyarat mengevaluasi faktor tambahan seperti lokasi permintaan akses, perangkat yang digunakan, waktu hari, dan sensitivitas sumber daya yang diakses. Misalnya, kebijakan mungkin mengizinkan pengguna mengakses email dari lokasi mana pun tetapi mengharuskan mereka berada di perangkat terkelola dan jaringan terpercaya untuk mengakses sistem keuangan. Kebijakan lain mungkin mengizinkan akses baca-saja ke CRM dari perangkat mobile tetapi memerlukan desktop di jaringan perusahaan untuk operasi ekspor data.

Kebijakan ini memungkinkan organisasi menyeimbangkan keamanan dengan kegunaan. Alih-alih memblokir akses sepenuhnya ketika kondisi tidak ideal, akses bersyarat dapat meningkatkan persyaratan verifikasi, membatasi cakupan akses, atau memerlukan persetujuan tambahan. Pendekatan bertingkat ini sangat berharga bagi UKM di mana langkah keamanan yang terlalu ketat dapat mengganggu produktivitas dan menghasilkan frustrasi pengguna yang mengarah pada solusi darurat dan shadow IT.

Kepercayaan Perangkat dan Manajemen Endpoint

Dalam model zero trust, perangkat yang digunakan untuk mengakses sumber daya bisnis merupakan faktor penting dalam keputusan akses. Laptop terkelola perusahaan yang sepenuhnya di-patch dan terenkripsi yang terhubung dari lokasi yang dikenal menampilkan profil risiko yang sangat berbeda dari perangkat pribadi yang tidak terkelola dengan perangkat lunak usang yang terhubung dari negara asing. Penilaian kepercayaan perangkat mengevaluasi postur keamanan endpoint sebelum memberikan akses dan dapat menerapkan persyaratan minimum seperti versi sistem operasi, status enkripsi, keberadaan antivirus, dan level patch.

Mobile Device Management dan evolusi modernnya, Unified Endpoint Management, menyediakan alat yang diperlukan untuk menilai dan menerapkan kepatuhan perangkat. Untuk perangkat milik perusahaan, MDM memungkinkan organisasi mendorong konfigurasi keamanan, menerapkan enkripsi, mengelola pembaruan perangkat lunak, dan menghapus perangkat yang hilang atau dicuri dari jarak jauh. Untuk perangkat pribadi dalam lingkungan bring-your-own-device, MDM dapat dikonfigurasi untuk mengelola hanya data dan aplikasi perusahaan di perangkat tanpa mengakses konten pribadi, mengatasi kekhawatiran privasi karyawan sambil mempertahankan persyaratan keamanan perusahaan.

Tantangan praktis bagi UKM adalah menentukan tingkat manajemen perangkat yang tepat untuk situasi mereka. Penerapan MDM penuh dengan penegakan kepatuhan yang ketat mungkin tepat untuk organisasi di industri yang diregulasi atau yang menangani data sensitif, tetapi mungkin berlebihan untuk agensi kreatif kecil di mana karyawan sesekali menggunakan perangkat pribadi. Pendekatan bertingkat sering bekerja dengan baik: persyaratan manajemen perangkat yang ketat untuk mengakses sistem paling sensitif, pemeriksaan kepatuhan dasar untuk aplikasi bisnis umum, dan akses berbasis web dengan fungsionalitas terbatas untuk perangkat yang tidak terkelola yang mengakses sumber daya sensitivitas rendah.

Terlepas dari tingkat manajemen perangkat yang diterapkan, setiap organisasi harus menerapkan standar kebersihan endpoint dasar. Ini termasuk mengharuskan pembaruan otomatis sistem operasi dan aplikasi, mewajibkan enkripsi disk pada semua perangkat yang mengakses data bisnis, memastikan perangkat lunak antimalware terinstal dan aktif, serta mengonfigurasi penguncian layar otomatis setelah periode tidak aktif. Langkah-langkah dasar ini secara signifikan mengurangi risiko kompromisnya perangkat dan sering kali dapat diterapkan melalui group policy atau alat manajemen dasar tanpa investasi MDM penuh.

Segmentasi Jaringan dan Cloud

Segmentasi jaringan adalah praktik membagi jaringan menjadi zona terpisah dengan komunikasi terkontrol di antaranya. Dalam konteks zero trust, segmentasi membatasi kemampuan penyerang untuk bergerak secara lateral melalui jaringan setelah mengompromikan satu sistem. Bahkan jika penyerang mendapatkan akses ke workstation di jaringan kantor umum, segmentasi mencegah akses tersebut secara otomatis meluas ke server yang menghosting data keuangan, lingkungan pengembangan, atau infrastruktur administratif.

Untuk UKM dengan infrastruktur on-premise, segmentasi jaringan dasar dapat dicapai melalui VLAN dan aturan firewall yang membatasi lalu lintas antar segmen jaringan. Skema segmentasi tipikal mungkin memisahkan jaringan kantor umum dari jaringan server, mengisolasi lalu lintas wireless tamu dari sistem internal, dan menempatkan sistem sensitif seperti akuntansi dan HR di segmen terbatas dengan kontrol akses tambahan. Meskipun ini bukan mikro-segmentasi yang diadvokasikan oleh puritan zero trust, ini mewakili peningkatan besar dibandingkan konfigurasi jaringan datar yang umum di lingkungan bisnis kecil.

Lingkungan cloud memerlukan pendekatan berbeda untuk segmentasi. Segmentasi native cloud menggunakan jaringan virtual, security group, dan access control list untuk mengontrol aliran lalu lintas antara sumber daya cloud. Sebagian besar penyedia cloud juga menawarkan kapabilitas segmentasi yang lebih canggih seperti private endpoint yang membatasi akses ke layanan cloud hanya pada jaringan virtual tertentu, menghilangkan paparan ke internet publik sepenuhnya. Untuk organisasi yang menggunakan beberapa layanan cloud, cloud access security broker dapat menyediakan penegakan kebijakan dan visibilitas yang konsisten di semua lingkungan cloud.

Prinsip kunci yang mendasari semua upaya segmentasi adalah membuat arsitektur jaringan mencerminkan hubungan kepercayaan dalam organisasi. Sistem yang perlu berkomunikasi harus bisa melakukannya, sementara semua jalur komunikasi lainnya harus diblokir secara default. Pendekatan deny-by-default ini, diterapkan pada lapisan jaringan dan aplikasi, adalah salah satu langkah paling efektif yang tersedia untuk membatasi dampak pelanggaran keamanan.

Pemantauan dan Verifikasi Berkelanjutan

Zero trust bukanlah model keamanan yang sekali diatur lalu ditinggalkan. Pemantauan dan verifikasi berkelanjutan sangat penting untuk mendeteksi ancaman yang melewati kontrol preventif dan untuk mengadaptasi kebijakan keamanan berdasarkan perilaku yang diamati. Minimal, organisasi harus mengumpulkan dan meninjau log dari penyedia identitas, sistem kontrol akses, alat manajemen endpoint, dan perangkat keamanan jaringan. Log ini menyediakan data mentah yang diperlukan untuk mendeteksi aktivitas mencurigakan seperti upaya login dari lokasi yang tidak biasa, akses ke sumber daya di luar pola normal, atau tanda-tanda pergerakan lateral.

Sistem Security Information and Event Management mengagregasi log dari berbagai sumber dan menerapkan aturan korelasi untuk mengidentifikasi pola yang mungkin mengindikasikan insiden keamanan. Meskipun platform SIEM enterprise secara tradisional mahal dan kompleks, layanan SIEM berbasis cloud telah membuat kapabilitas ini dapat diakses oleh UKM. Banyak organisasi menggunakan alat pemantauan keamanan bawaan penyedia cloud mereka, seperti Microsoft Sentinel atau AWS Security Hub, yang menawarkan kapabilitas mirip SIEM yang terintegrasi dengan lingkungan cloud dengan biaya sebagian kecil dari produk mandiri.

User and Entity Behavior Analytics mewakili kapabilitas pemantauan yang lebih canggih yang menggunakan machine learning untuk membangun pola perilaku dasar untuk pengguna dan sistem, kemudian memberi peringatan pada penyimpangan dari baseline tersebut. Misalnya, sistem UEBA mungkin memberi peringatan jika pengguna yang biasanya hanya mengakses aplikasi pemasaran tiba-tiba mulai mengakses database keuangan, atau jika server yang biasanya hanya berkomunikasi dengan set peer tertentu mulai mengirim data ke alamat eksternal yang tidak dikenal. Deteksi berbasis anomali ini dapat mengidentifikasi serangan canggih yang mungkin terlewat oleh sistem berbasis aturan.

Output dari sistem pemantauan hanya berharga jika seseorang meninjau dan menindaklanjutinya. Bagi UKM yang tidak mampu memiliki tim operasi keamanan khusus, layanan managed detection and response menyediakan alternatif. Layanan ini menggabungkan teknologi pemantauan dengan analis manusia yang meninjau peringatan, menyelidiki potensi insiden, dan memberikan panduan tentang tindakan respons. Pendekatan ini memberikan bisnis kecil akses ke keahlian operasi keamanan secara berbagi biaya, membuat pemantauan berkelanjutan praktis bahkan dengan sumber daya internal yang terbatas.

Bagaimana Dualbyte Dapat Membantu

Menerapkan keamanan zero trust bisa terasa sangat berat, terutama bagi usaha kecil dan menengah yang tidak memiliki staf keamanan khusus. Dualbyte menyederhanakan perjalanan ini dengan menyediakan layanan implementasi zero trust bertahap yang praktis dan disesuaikan dengan realitas lingkungan UKM. Kami memulai dengan penilaian postur keamanan Anda saat ini, mengidentifikasi celah berisiko tertinggi, dan mengembangkan peta jalan prioritas yang memberikan peningkatan keamanan yang berarti di setiap tahap tanpa memerlukan investasi awal yang besar.

Tim keamanan siber kami memiliki keahlian mendalam dalam platform identitas, alat manajemen endpoint, dan layanan keamanan cloud yang membentuk blok bangunan arsitektur zero trust. Kami menangani implementasi teknis MFA, SSO, kebijakan akses bersyarat, penegakan kepatuhan perangkat, dan segmentasi jaringan, sambil memastikan kontrol keamanan yang dihasilkan praktis dan ramah pengguna. Kami juga menyediakan pelatihan staf dan dukungan manajemen perubahan yang penting untuk adopsi pengguna, karena bahkan alat keamanan terbaik pun tidak efektif jika pengguna menemukan cara untuk mengelaknya.

Baik Anda mengambil langkah pertama menuju zero trust dengan MFA dan SSO atau siap menerapkan kapabilitas canggih seperti UEBA dan mikro-segmentasi, Dualbyte dapat memandu Anda melalui prosesnya. Hubungi tim keamanan kami untuk penilaian rahasia terhadap lingkungan Anda saat ini dan peta jalan zero trust yang disesuaikan untuk ukuran bisnis, industri, dan profil risiko Anda.