Apa itu Keamanan Tanpa Kepercayaan? Panduan Pengenalan

Zero Trust adalah strategi pertahanan proaktif, itulah sebabnya teknologi yang mendukungnya mengamati adopsi yang lebih luas akhir-akhir ini sebagai tanggapan atas peningkatan masalah keamanan.

Konon, kepercayaan telah menjadi pusat perhatian ketika berbicara tentang keamanan siber. Elemen fundamental keamanan siber adalah infrastruktur jaringan 'tepercaya', pengguna, perangkat atau titik akhir, pemasok, dan lainnya.

Tidak diragukan lagi, pendekatan ini memainkan peran penting dalam melindungi bisnis, data mereka, dan bahkan individu. Tetapi saat kita mempelajari dunia yang lebih maju secara teknis, pendekatan ini telah dieksploitasi oleh penyerang cyber untuk waktu yang lama karena:

• Model keamanan yang lemah atau konsep 'kastil dan parit' di mana pemeriksaan keamanan dilakukan di luar perimeter bangunan tempat bisnis dijalankan. Jika peretas atau malware berhasil menembus batas itu dan memasukinya, kerusakan akan terjadi.
• Kontrol akses usang seperti firewall jaringan tanpa visibilitas atau kontrol pada aplikasi dan/atau layanan pengguna yang mereka gunakan. Jika peretas membahayakan jaringan, mereka dapat dengan mudah mengakses aplikasi tersebut.
• Teknologi VPN sangat bagus untuk mengamankan komunikasi data dan menjaga kerahasiaan dan privasi, tetapi otorisasi dan otentikasi masih belum tercapai dengan sempurna.
• Mengubah alur kerja seperti kebijakan BYOD dan pekerja jarak jauh menggunakan perangkat mereka. Jika sistem keamanan yang tepat tidak diterapkan, kebocoran data terjadi.

Semua tantangan keamanan yang dihadapi oleh organisasi ini mengarah pada fondasi sistem yang fleksibel, dinamis, sederhana, dan memberikan keamanan tingkat tinggi dari atas dan luar.

Zero Trust Security adalah model yang sedang kita bicarakan.

Dalam artikel ini, Anda akan mempelajari tentang Zero Trust Security, prinsipnya, cara menerapkannya, dan beberapa hal menarik lainnya tentangnya.

Mari kita jelajahi!

Apa itu Kepercayaan Nol?

Zero Trust adalah pendekatan keamanan tingkat lanjut di mana semua pengguna, di dalam dan di luar jaringan organisasi, harus diotorisasi, diautentikasi, dan divalidasi secara terus-menerus dari postur dan konfigurasi keamanan mereka sebelum mereka diberikan akses ke jaringan, data, dan aplikasi.

Pendekatan ini menggunakan teknologi keamanan kelas atas, termasuk otentikasi multi-faktor, keamanan titik akhir generasi berikutnya, dan manajemen identitas & akses (IAM) untuk memverifikasi identitas pengguna sambil mempertahankan keamanan yang ketat.

Selain menawarkan verifikasi identitas pengguna yang ketat, Zero Trust melindungi pengguna dan aplikasi dari ancaman internet yang canggih.

Ungkapan "Zero Trust" dipopulerkan oleh John Kindervag dari Forrester tetapi sebenarnya diciptakan oleh Stephen Paul Marsh pada April 1994 setelah tesisnya di University of Stirling tentang keamanan komputasi.

Pada kenyataannya, sebagian besar konsep Zero Trust bukanlah hal baru. Berdasarkan studi Marsh, kepercayaan itu terbatas, yang melampaui aspek manusia seperti etika, moralitas, keadilan, penilaian, dan keabsahan. Menurutnya, kepercayaan dapat diilustrasikan sebagai konstruksi matematis.

Zero Trust bertujuan untuk menyebarkan gagasan bahwa organisasi tidak boleh mempercayai perangkat atau pengguna secara default meskipun terhubung ke LAN perusahaan mereka atau telah diverifikasi sebelumnya. Itu bergantung pada visibilitas yang jelas secara real-time ke atribut pengguna seperti identitas pengguna, versi firmware, jenis perangkat keras titik akhir, versi OS, kerentanan, level patch, login pengguna, aplikasi yang diinstal, deteksi insiden, dll.

Sebagai hasil dari kemampuan keamanannya yang kokoh, Zero Trust menjadi lebih terkenal, dan organisasi mulai mengadopsinya, termasuk Google dengan proyek BeyondCorp-nya.

Penggerak utama adopsi ini adalah meningkatnya frekuensi serangan siber, menargetkan titik akhir, perangkat lokal, jaringan, data, aplikasi cloud, dan infrastruktur TI lainnya. Selain itu, pandemi covid-19, memaksa orang untuk bekerja dari rumah, semakin meningkatkan jumlah serangan online secara global.

Oleh karena itu, praktik keamanan seperti Zero Trust tampaknya menjadi pilihan yang layak.

Sebuah laporan mengatakan bahwa ukuran pasar global keamanan Zero Trust diperkirakan akan tumbuh pada CAGR 17,4% dan mencapai US$ 51,6 miliar pada tahun 2026 dari US$ 19,6 miliar pada tahun 2020.

Beberapa terminologi Zero Trust Access yang populer adalah Zero Trust Application Access (ZTAA), Zero Trust Network Access (ZTNA), Zero Trust Identity Protection (ZTIP), dll.

Apa Prinsip Inti dari Zero Trust?

Konsep Zero Trust Security didasarkan pada prinsip-prinsip yang disebutkan di bawah ini, yang digunakan untuk membantu mengamankan jaringan organisasi.

Akses Hak Istimewa Terkecil

Ini adalah konsep mendasar di mana pengguna harus diberikan hanya tingkat akses yang mereka butuhkan saat diperlukan untuk bekerja dan memenuhi peran mereka. Ini mengurangi paparan pengguna ke komponen sensitif jaringan Anda.

Identifikasi pengguna ️

Anda harus tahu siapa saja yang telah diberikan akses ke jaringan, aplikasi, data, dan sebagainya. Selalu periksa otentikasi dan otorisasi pada setiap permintaan akses untuk menjaga keamanan yang lebih kuat di organisasi Anda.

Mikrosegmentasi

Ini adalah praktik penting di mana Anda perlu memecah batas keamanan menjadi zona yang lebih kecil. Proses ini juga dikenal sebagai zonasi, dan ini dilakukan untuk memastikan ada akses terpisah yang disediakan untuk berbagai bagian jaringan Anda.

Anda juga perlu mengelola dan memantau data secara terus-menerus di antara zona-zona ini, dan ia menawarkan kontrol akses granular untuk menghilangkan kelebihan hak istimewa.

Memanfaatkan teknik pencegahan canggih

Zero Trust menyarankan Anda mengadopsi teknik pencegahan canggih yang dapat menghentikan pelanggaran online dan mengurangi kerusakan.

Multi-factor Authentication (MFA) adalah teknik untuk mengkonfirmasi identitas pengguna dan memperkuat keamanan jaringan. Ia bekerja dengan mengajukan pertanyaan keamanan kepada pengguna, mengirim pesan konfirmasi teks/email, atau menilai pengguna melalui latihan berbasis logika. Semakin banyak titik otentikasi yang Anda masukkan ke dalam jaringan, semakin kuat keamanan organisasi Anda.

Memantau akses perangkat secara real-time ️

Selain mengontrol akses pengguna, Anda perlu memantau dan mengontrol akses perangkat secara real-time mengenai berapa banyak dari mereka yang mencari akses ke jaringan Anda. Semua perangkat ini harus diotorisasi untuk meminimalkan kemungkinan serangan.

Apa Manfaatnya?

Zero Trust memberi Anda strategi kokoh untuk keamanan organisasi dan ketahanan jaringan. Ini memberi Anda beberapa manfaat untuk bisnis Anda, seperti:

Perlindungan dari Ancaman Eksternal dan Internal

Zero Trust menawarkan kebijakan ketat untuk menghentikan ancaman eksternal, melindungi bisnis Anda, dan melindungi Anda dari agen internal yang berbahaya. Faktanya, ancaman internal bahkan lebih parah, dan mereka mengeksploitasi kepercayaan yang Anda miliki di dalamnya.

Laporan Verizon ini mengatakan bahwa sekitar 30% dari semua pelanggaran data melibatkan pemain internal.

Oleh karena itu, Zero Trust berfokus pada konsep “jangan pernah percaya, selalu verifikasi”.

Dan ketika Anda menerapkan autentikasi yang diperluas dan eksplisit serta memantau dan memverifikasi setiap akses ke data, perangkat, server, dan aplikasi Anda, tidak ada orang dalam yang dapat menyalahgunakan hak istimewa mereka.

Perlindungan data

Zero Trust membantu mencegah malware atau karyawan Anda mengakses bagian jaringan Anda yang lebih besar. Oleh karena itu, membatasi akses mereka dan durasi akses mereka membantu mengurangi serangan, dan bahkan jika pelanggaran terjadi, dampaknya dapat dikurangi untuk mencegah lebih banyak kerusakan.

Akibatnya, Anda dapat mengamankan data bisnis Anda dari peretasan. Dan ketika malware menembus firewall Anda, itu hanya dapat mengakses bagian tertentu dari data Anda dengan cara yang terikat waktu.

Zero Trust tidak hanya melindungi data Anda tetapi juga kekayaan intelektual dan data pelanggan Anda. Dan ketika Anda dapat mencegah serangan, Anda menjaga reputasi bisnis Anda dan menjaga kepercayaan pelanggan Anda. Selain itu, Anda juga menyelamatkan diri dari kehilangan sejumlah besar uang dan dampak finansial lainnya.

Visibilitas Lebih Besar di Jaringan Anda

Karena Zero Trust tidak mengizinkan Anda memercayai apa pun atau siapa pun, Anda dapat memutuskan aktivitas dan sumber daya yang ingin Anda awasi. Dengan pemantauan intensif di seluruh organisasi Anda, termasuk sumber komputasi dan data, Anda dapat memperoleh visibilitas lengkap ke perangkat dan pengguna apa yang diberikan akses ke jaringan Anda.

Oleh karena itu, Anda akan sepenuhnya mengetahui aplikasi, pengguna, lokasi, dan waktu yang terkait dengan setiap permintaan akses. Jika ada perilaku yang tidak biasa, infrastruktur keamanan Anda akan segera menandainya dan melacak semua aktivitas yang terjadi secara real-time untuk keamanan yang komprehensif.

Mengamankan Tenaga Kerja Jarak Jauh

Pekerjaan jarak jauh banyak diterima di seluruh industri dan bisnis, terutama setelah pandemi covid-19. Ini juga telah meningkatkan risiko dan kerentanan dunia maya karena praktik keamanan yang lemah pada perangkat dan jaringan karyawan yang bekerja dari belahan dunia mana pun. Bahkan firewall menjadi tidak efisien sekarang dan menyebabkan risiko pada data yang disimpan di cloud.

Dengan memanfaatkan Zero Trust, identifikasi dan verifikasi pengguna di setiap level mengambil alih konsep perimeter atau pendekatan benteng dan parit. Identitas melekat pada setiap perangkat, pengguna, dan aplikasi yang ingin memasuki jaringan.

Dengan cara ini, Zero Trust memberikan perlindungan yang kuat untuk semua tenaga kerja Anda di mana pun mereka berada di dunia, atau data mereka disimpan.

Memudahkan Manajemen TI

Keamanan Zero Trust bergantung pada pemantauan, kontrol, dan analitik yang berkelanjutan; karenanya, menggunakan otomatisasi dapat memudahkan proses evaluasi permintaan akses. Karena jika semuanya dilakukan secara manual, akan memakan banyak waktu untuk menyetujui setiap permintaan, dan alur kerja akan melambat secara drastis, memengaruhi tujuan dan pendapatan bisnis.

Tetapi jika Anda menggunakan otomatisasi seperti Privileged Access Management (PAM), ia dapat menilai permintaan akses berdasarkan pengenal keamanan tertentu untuk memberikan akses secara otomatis. Oleh karena itu, Anda tidak perlu melibatkan tim TI Anda dalam menyetujui setiap permintaan, termasuk beberapa kesalahan manusia.

Dan ketika sistem menandai permintaan sebagai mencurigakan, admin dapat mengambil alih. Dengan cara ini, Anda dapat memanfaatkan kekuatan otomatisasi dan memungkinkan tenaga kerja Anda menikmati peningkatan dan inovasi alih-alih melakukan tugas-tugas biasa.

Memastikan Kepatuhan

Karena setiap permintaan akses dievaluasi terlebih dahulu dan kemudian dicatat dengan detail, Zero Trust membantu Anda selalu patuh. Sistem melacak waktu, aplikasi, dan lokasi setiap permintaan untuk membuat jejak audit tanpa cacat yang membentuk rantai bukti.

Akibatnya, Anda tidak perlu berjuang untuk mempertahankan atau menghasilkan bukti, membuat tata kelola menjadi efisien dan lebih cepat. Pada saat yang sama, Anda berada jauh dari risiko kepatuhan.

Bagaimana Menerapkan Zero Trust?

Setiap organisasi memiliki kebutuhan dan tantangan yang unik, tetapi aspek-aspek tertentu tetap sama untuk setiap organisasi. Inilah sebabnya mengapa Zero Trust dapat diterapkan di seluruh organisasi, apa pun jenis bisnis atau industrinya.

Jadi, inilah cara Anda dapat menerapkan keamanan Zero Trust di organisasi Anda.

Identifikasi Data Sensitif

Saat Anda mengetahui jenis data sensitif yang Anda miliki dan di mana serta bagaimana data tersebut mengalir, ini akan membantu Anda menentukan strategi keamanan terbaik.

Selain itu, kenali juga aset, layanan, dan aplikasi Anda. Anda juga perlu memeriksa perangkat dan celah saat ini di infrastruktur Anda yang mungkin berfungsi sebagai celah keamanan.

• Berikan perlindungan tertinggi pada data dan aset Anda yang paling penting untuk memastikan mereka tidak disusupi.
• Hal lain yang dapat Anda terapkan adalah mengklasifikasikan data Anda menjadi: rahasia, internal, dan publik. Anda dapat memanfaatkan mikro-segmentasi atau zonasi. Selain itu, buat potongan kecil data untuk berbagai zona yang terhubung di seluruh ekosistem jaringan yang diperluas.

Arus Data Peta

Nilai bagaimana data Anda mengalir di seluruh jaringan, termasuk arus transaksional, yang bisa multi-arah. Ini membantu mendorong pengoptimalan aliran data dan pembuatan jaringan mikro.

Selain itu, ingatlah lokasi data sensitif dan siapa saja yang dapat diakses oleh semua pengguna dan menerapkan praktik keamanan yang lebih ketat.

Membangun jaringan Zero Trust Micro

Saat informasi ada di tangan Anda mengenai seberapa sensitif aliran data di jaringan Anda, buat jaringan mikro untuk setiap aliran data. Arsitek mereka sehingga hanya praktik keamanan yang paling sesuai yang digunakan untuk setiap kasus penggunaan.

Pada langkah ini, gunakan kontrol keamanan virtual dan fisik, seperti:

• Menegakkan perimeter mikro Anda untuk mencegah gerakan yang tidak sah secara lateral. Anda dapat mengelompokkan organisasi Anda berdasarkan lokasi, grup pengguna, aplikasi, dll.
• Memperkenalkan otentikasi multi-faktor seperti otentikasi dua faktor (2FA) atau otentikasi tiga faktor (3FA). Kontrol keamanan ini menawarkan lapisan keamanan tambahan dan verifikasi untuk setiap pengguna di luar dan di dalam organisasi Anda.
• Mulai Akses Hak Istimewa Terkecil ke pengguna yang diperlukan untuk menyelesaikan tugas dan memenuhi peran mereka. Itu harus didasarkan pada di mana data sensitif Anda disimpan dan bagaimana mereka mengalir.

Pantau Sistem Zero Trust Secara Terus-menerus

Pantau seluruh jaringan dan ekosistem perimeter mikro Anda secara terus menerus untuk memeriksa, mencatat, dan menganalisis setiap data, lalu lintas, dan aktivitas. Dengan menggunakan detail ini, Anda dapat mengetahui aktivitas jahat dan sumber asalnya untuk memperkuat keamanan.

Ini akan memberi Anda pandangan yang lebih luas tentang bagaimana keamanan dipertahankan dan apakah Zero Trust bekerja untuk jaringan Anda.

Memanfaatkan Alat Otomasi dan Sistem Orkestrasi

Otomatiskan proses dengan bantuan alat otomatisasi dan sistem orkestrasi untuk memaksimalkan penerapan Zero Trust Anda. Ini akan membantu Anda menghemat waktu dan mengurangi risiko cacat organisasi atau kesalahan manusia.

Sekarang setelah Anda memiliki pandangan yang lebih baik tentang Zero Trust, cara kerjanya, cara menerapkannya, dan manfaatnya, mari kita lihat beberapa alat yang dapat membantu implementasi lebih mudah bagi Anda.

Apa Saja Beberapa Solusi Keamanan Zero Trust?

Banyak vendor menawarkan solusi Zero Trust, seperti Akamai, Palo Alto, Cisco, Illumio, Okta, Unisys, Symantec, Appgate SDP, dan lainnya.

Solusi atau perangkat lunak Zero Trust Networking adalah solusi manajemen identitas dan keamanan jaringan yang membantu Anda menerapkan model Zero Trust. Perangkat lunak ini memungkinkan Anda untuk memantau aktivitas jaringan Anda bersama dengan perilaku pengguna secara terus menerus dan mengotentikasi setiap permintaan.

Jika pengguna mencoba untuk melanggar izin atau berperilaku tidak normal, sistem akan meminta mereka untuk memberikan lebih banyak otentikasi. Pada saat yang sama, perangkat lunak mengumpulkan data dari log lalu lintas, perilaku pengguna, dan titik akses untuk memberikan analisis detail.

Perangkat lunak dapat menggunakan otentikasi berbasis risiko, terutama untuk mengontrol akses jaringan. Berikut adalah beberapa perangkat lunak jaringan Zero Trust:

• Okta: Ini memanfaatkan cloud dan memberlakukan kebijakan keamanan yang lebih kuat. Perangkat lunak ini terintegrasi dengan sistem identitas dan direktori organisasi Anda yang ada bersama dengan 4000+ aplikasi.
• Perimeter 81: Ini menggunakan arsitektur perimeter yang ditentukan perangkat lunak yang kuat, menawarkan visibilitas jaringan yang lebih luas, kompatibilitas penuh, onboarding tanpa batas, dan menawarkan enkripsi 256-bit tingkat bank.
• SecureAuth Identity Management: Dikenal untuk memberikan pengalaman otentikasi yang fleksibel dan aman kepada pengguna dan bekerja di semua lingkungan.

Solusi perangkat lunak Zero Trust Networking terkenal lainnya adalah BetterCloud, Centrify Zero Trust Privilege, DuoSecurity, NetMotion, dan banyak lagi.

Apa Tantangan dalam Menerapkan Zero Trust?

Ada banyak alasan mengapa penerapan Zero Trust menantang bagi organisasi yang meliputi:

• Sistem warisan: Banyak sistem warisan seperti alat, aplikasi, sumber daya jaringan, dan protokol digunakan untuk operasi bisnis. Verifikasi identitas tidak dapat melindungi semuanya, dan merancang ulang mereka akan sangat mahal.
• Kontrol & visibilitas terbatas: Sebagian besar organisasi tidak memiliki visibilitas komprehensif ke dalam jaringan dan pengguna mereka, atau mereka tidak dapat menetapkan protokol ketat di sekitarnya karena alasan apa pun.
• Peraturan: Badan pengatur belum mengadopsi Zero Trust; karenanya, organisasi akan bermasalah saat melewati audit keamanan untuk kepatuhan.

Misalnya, PCI-DSS mengharuskan Anda menggunakan segmentasi dan firewall untuk melindungi data sensitif. Tetapi Anda tidak memiliki firewall dengan model Zero Trust, oleh karena itu, risiko kepatuhan. Oleh karena itu, perubahan signifikan dalam peraturan harus ada jika kita ingin mengadopsi keamanan Zero Trust.

Kesimpulan

Meskipun dalam tahap pertumbuhan, Zero Trust membuat gebrakan di industri keamanan. Dengan semakin banyak serangan siber di seluruh dunia, ada kebutuhan untuk memiliki sistem yang kuat seperti Zero Trust.

Zero Trust menyediakan arsitektur keamanan yang lebih kuat dengan identitas dan kontrol akses ke data dan transaksi Anda dengan memverifikasi semua perangkat dan pengguna Anda di setiap titik akses. Itu dapat melindungi organisasi dari semua jenis ancaman online – manusia dan program, asing dan domestik ke jaringan Anda.