Akses ke sistem organisasi kini datang dari kantor, rumah, perangkat pribadi, penyedia cloud, dan mitra usaha. Lokasi di jaringan internal tidak lagi cukup untuk membuktikan bahwa suatu permintaan aman. Arsitektur zero trust (model keamanan tanpa kepercayaan tersirat) memeriksa identitas, perangkat, sumber daya, dan konteks sebelum memberikan akses. Di Indonesia, kontrol sejenis sudah tampak dalam aturan perbankan, tetapi tingkat penerapannya belum dipetakan secara terbuka.

Kepercayaan tidak lagi mengikuti lokasi jaringan

National Institute of Standards and Technology (NIST) menyatakan zero trust memindahkan fokus pertahanan dari perimeter jaringan ke pengguna, aset, dan sumber daya. Akun atau perangkat tidak otomatis dipercaya karena berada di kantor atau dimiliki perusahaan. Autentikasi dan otorisasi dilakukan untuk setiap permintaan akses. Perlindungan mengikuti sumber daya, bukan sekadar ruas jaringan tempat sumber daya itu berada.

Model ini berbeda dari pemeriksaan login satu kali. Sistem perlu mengetahui siapa yang meminta, perangkat apa yang dipakai, dan sumber daya mana yang dituju. Sinyal lain mencakup tingkat risiko, lokasi koneksi, waktu, serta pola aktivitas. Kebijakan kemudian memberi akses minimum yang diperlukan, menolak permintaan, atau meminta verifikasi tambahan.

Pegawai mengakses layanan cloud melalui laptop saat bekerja dari luar kantor (ilustrasi)

Identitas, perangkat, kebijakan, dan catatan aktivitas harus terhubung

Lapisan pertama adalah identitas pengguna dan layanan. Organisasi memerlukan autentikasi multifaktor (MFA), pengelolaan akun, serta pembatasan hak istimewa. Akun administrator perlu dipisahkan dari akun kerja harian. Perubahan jabatan atau berakhirnya kontrak juga harus segera mengubah hak akses.

Lapisan kedua menilai perangkat ujung (endpoint), termasuk laptop, ponsel, dan server. Sistem memeriksa pendaftaran perangkat, pembaruan keamanan, enkripsi, serta tanda kompromi. Identitas yang sah tidak cukup jika perangkatnya tidak dikenal atau terinfeksi. Pemeriksaan perlu diulang karena kondisi perangkat berubah setelah sesi dimulai.

Jari membuka ponsel dengan autentikasi biometrik sebagai bagian dari pemeriksaan identitas (ilustrasi)

Lapisan berikutnya menghubungkan kebijakan akses dengan data dan aplikasi. Organisasi harus mengetahui aset, pemilik, tingkat sensitivitas, serta aliran datanya. Tanpa inventaris itu, mesin kebijakan tidak memiliki dasar untuk membedakan akses biasa dan akses berisiko tinggi. Catatan aktivitas lalu dipakai untuk mendeteksi penyimpangan dan meninjau keputusan akses.

Penerapan bertahap lebih realistis daripada penggantian serentak

Zero trust bukan satu produk yang selesai setelah dipasang. NIST SP 1800-35 mendokumentasikan 19 contoh penerapan yang dibangun bersama 24 organisasi. Contohnya memakai kombinasi tata kelola identitas, segmentasi mikro, perimeter berbasis perangkat lunak, dan pengamanan akses layanan. Banyak susunan teknologi bisa memenuhi prinsip yang sama.

Tahap awal biasanya memetakan pengguna, perangkat, aplikasi, data, dan jalur akses pihak ketiga. Organisasi kemudian dapat memilih sumber daya kritis untuk proyek terbatas. Hasilnya diukur melalui akses berlebih yang ditutup, waktu deteksi, gangguan pengguna, dan kemampuan pemulihan. Perluasan dilakukan setelah kebijakan, data perangkat, dan dukungan operasional stabil.

Aplikasi lama menjadi hambatan utama karena tidak selalu mendukung autentikasi modern atau kebijakan terperinci. Integrasi juga bisa menghasilkan terlalu banyak permintaan verifikasi dan alarm. Pengecualian darurat yang tidak diawasi berpotensi membuat jalur baru bagi penyerang. Karena itu, migrasi memerlukan pemilik kebijakan, pencatatan perubahan, pengujian, dan rencana pemulihan.

Aturan OJK sudah memuat kontrol yang beririsan

Otoritas Jasa Keuangan (OJK) mengatur ketahanan dan keamanan siber bank umum melalui SEOJK No. 29/SEOJK.03/2022. Aturan itu meminta identifikasi dan autentikasi akses pada perangkat lunak serta perangkat keras, disertai pengendalian akses pengguna. Bank juga diminta memakai MFA untuk akses data sensitif atau seluruh jaringan bila diperlukan. Kewajiban ini berlaku bagi bank umum konvensional dan syariah.

Dokumen OJK juga mencakup keamanan perangkat ujung, reputasi alamat IP, pembatasan akses basis data, dan saluran autentikasi terenkripsi. Akses pihak ketiga, perangkat pribadi, jaringan kantor, dan layanan cloud masuk dalam penilaian risiko. Unsur tersebut beririsan dengan zero trust karena keputusan tidak hanya bergantung pada lokasi jaringan. Namun, kesesuaian beberapa kontrol tidak membuktikan bahwa sebuah bank telah menerapkan arsitektur itu secara menyeluruh.

Petugas bank memantau sistem keamanan siber dari ruang operasi teknologi informasi (ilustrasi)

OJK meminta bank menilai risiko inheren, mengukur kematangan keamanan siber, melakukan pengujian, dan menyiapkan fungsi penanganan siber. Pengukuran itu lebih luas daripada label teknologi tertentu. Bank bisa memenuhi suatu kontrol dengan rancangan yang berbeda sesuai risiko dan arsitekturnya. Data penilaian masing-masing bank juga tidak disajikan dalam dokumen tersebut sebagai peringkat publik.

Kebijakan nasional belum menjadi peta adopsi zero trust

Peraturan Badan Siber dan Sandi Negara (BSSN) No. 5 Tahun 2024 menetapkan Rencana Aksi Nasional Keamanan Siber untuk 2024–2028. Rencana itu memuat arah kebijakan, sasaran, kegiatan, indikator, target, penanggung jawab, dan instansi terkait. Cakupannya adalah keamanan siber nasional, bukan jadwal tunggal penerapan zero trust. Dokumen tersebut juga tidak dapat dipakai untuk menyimpulkan tingkat adopsi setiap instansi atau perusahaan.

Sampai artikel ini disusun, kami belum menemukan data resmi yang memetakan penerapan zero trust pada instansi pemerintah, bank, dan perusahaan Indonesia. Belum ditemukan pula daftar nasional yang menilai kematangan penerapan berdasarkan satu metodologi terbuka. Kesenjangan informasi itu membatasi perbandingan antarsektor. Klaim bahwa Indonesia telah mencapai tahap tertentu harus diuji pada dokumen dan bukti teknis tiap organisasi.

Pimpinan dan tim teknologi membahas peta kendali akses serta risiko siber dalam rapat (ilustrasi)

Ukuran kemajuan berada pada kontrol, bukan nama produk

Organisasi dapat menilai kemajuan melalui cakupan inventaris, jumlah akun istimewa, dan kecepatan pencabutan akses. Ukuran lain mencakup perangkat yang terpantau, sumber daya dengan kebijakan terperinci, dan akses pihak ketiga yang tercatat. Angka pembelian lisensi tidak menjelaskan apakah keputusan akses benar-benar memakai sinyal risiko. Sertifikat produk juga tidak menggantikan pengujian pada arsitektur organisasi.

Zero trust tetap bergantung pada kualitas data identitas, konfigurasi, dan respons insiden. Akun yang salah diklasifikasikan masih bisa memperoleh hak berlebih. Perangkat yang tidak mengirim telemetri dapat menghasilkan keputusan keliru. Arsitektur ini mengurangi kepercayaan tersirat, tetapi tidak menghapus kebutuhan akan pencadangan, pengujian, pelatihan, dan pemulihan.