Problem saat ini, justru 34% serangan berasal dari zona atau network internal yang dianggap selama ini sebagai zona yang memiliki tingkat trust keamanan yang tinggi dibandingkan dengan zona eksternal. Bahkan ancaman terbesar dan berbahaya terhadap keamanan informasi bukan berasal dari para hacker yang beroperasi dari zona open internet tapi yang dari staff perusahaan itu sendiri. Boleh jadi mereka tidak berniat untuk menyerang sistem milik perusahaan tapi ketidakpahamannya terhadap keamanan informasi membuat mereka rentan terhadap phising, email scam, dan social engineering sehingga membuka pintu pihak luar masuk ke dalam sistem.

A. Zero Trust Mindset

Pada dasarnya inti dari Zero Trust Security yang terpenting adalah perubahan mindset terhadap keamanan informasi. Mindset utamanya adalah bahwa sistem yang kita operasikan berada di dalam suatu lingkungan yang secara konstan selalu rawan dan dipenuhi ancaman keamanan informasi.

Suatu lingkungan yang menuntut kita untuk tanpa henti selalu melakukan asesmen dan validasi demi mengetahui sejauh mana strategi keamanan telah diterapkan terhadap sistem telah berjalan dengan efektif. Mindset inilah yang penting untuk dimiliki terlebih dulu sebelum melakukan perubahan secara teknologi terhadap strategi keamanan informasi. Berikut ini adalah prilaku kunci yang harus kita miliki terkait dengan mindset tersebut:

• Jangan merasa puas. Ini adalah pergeseran utama pemikiran Zero Trust Security. Dalam model keamanan lama, dimana sistem jaringan bersifat flat dan menggunakan VPN, kemudian semua request dari network yang telah teridentifikasi (known) tsb dianggap aman. Bahkan berasumsi model keamanan yang melindungi kita saat ini, akan melindungi kita pula esok harinya. Pola pikir Zero Trust Security menuntut kita menanggalkan asumsi Sebaliknya kita dituntut untuk melakukan validasi terus-menerus aspek keamanan informasi dari sistem.
• Asumsikan bahwa semua resources berada di area publik. Tidak ada area atau zona internal atau eksternal, semua dianggap berada di area open internet. Dengan demikian kewaspadaan kita akan bertambah dan kita akan selalu mencari cara untuk meningkatkan keamanannya.
• Jangan percaya layer keamanan tunggal. Gunakan kontrol yang memanfaatkan aspek multiple element (multi-factor authentication, device, location, strong auth, dsb) ketimbang hanya mengandalkan satu lapis keamanan saja.
• Peretasan containment. Dalam Zero Trust Security kita selalu berasumsi bahwa sistem containment mengalami peretasan. Namun karena kita memiliki beberapa lapis strategi containment seperti identity management, role-based access, separation of duties and network segementation maka containment lapisan lain diharapkan bisa menahan peretasan yang terjadi di lapis pertama ataupun kedua.
• Standarts are security. Hindari tindakan keamanan karena berbasis kecurigaan semata ataupun sikap reaktif karena munculnya insiden. Bangun dan gunakan suatu perangkat standart keamanan yang holistik dan sistemik. Lakukan penjadwalan terhadap review log, audit dan evaluasi, tinjauan evaluasi, dan sebagainya.
• Merasa selalu tidak cukup SDM. Upayakan untuk selalu melakukan proses otomatisasi. Asumsikan bahwa kita tak punya cukup SDM serta waktu untuk mengelola volume serangan yang terjadi. Gunakan cloud intelligence, AI, machine learning dan sebagainya untuk proses otomatisasi.

Keseluruhan pola pikir tersebut kita dapat peras menjadi tiga prinsip utama model Zero Trust Security, yaitu :

• Berpindah dari prasangka dan asumsi menuju verifikasi eksplisit.
• Mengadopsi model policy based dan least privileged access.
• Desain keamanan dengan asumsi bahwa semua elemen keamanan yang ada bisa diretas.

B. Elemen Kritikal

Berikut ini adalah elemen kritikal dalam penerapan Zero Trust Security yang perlu dikelola dengan seksama dan hati-hati. Agar Zero Trust Security bisa di implemantasikan secara sukses kepada sistem keamanan perusahaan:

• Verify identity. Mengenali siapa yang membutuhkan akses adalah esensial. Identitasnya harus jelas dan terang. Pastikan user data-nya sudah dimasukkan ke dalam common identity system menggunakan strong auth dan threat intelligence untuk memvalidasi proses otentikasi.
• Verify Devices. Semua request untuk akses data ke browser atau apps yang ada mesti dipastikan berasal dari device yang sudah terverifikasi.
• Protect Data. Lakukan segala hal yang mungkin, untuk melindungi data dari transfer yang tidak terotorisasi dengan menggunakan auto-clasification dan enkripsi.
• Harden Application. Pastikan akses dan konfigurasi aplikasi aman sesuai dengan policy yang telah ditentukan. Perilaku aplikasi harus dipahami dan dimonitor untuk melindunginya dari anomali.
• Protect Infrastructure. Pastikan melakukan setting dan konfigurasi infrastruktur sesuai best practice khususnya untuk aspek keamanan.
• Govern Network. Melakukan mitigasi terhadap pergerakan lateral dengan sistem intelligence, strategi segmentasi yang adaptif, monitoring, dan proteksi terhadap pola traffic

Kemudian, alat kunci untuk menggabungkan semua hal tersebut di atas adalah berikut di bawah ini:

• Policy Driven Access. Pastikan akses berbasiskan role, location, behaviour pattern, client application, dan device security. Pastikan policy tsb berjalan secara otomatis sepanjang waktu akses dan terus menerus selama session berlangsung.
• Automated Threat Detection and Response. Telemetri dari sistem harus di proses secara otomatis. Serangan dilakukan sepanjang waktu, manusia tak cukup punya waktu dan kecepatan dalam menanggulangi serangan. Oleh sebab itu wajib mengintegrasikan dengan sistem intelligence dalam policy based response untuk perlindugnan real time.

***