Model keamanan jaringan kantor lama bekerja seperti kastil — tembok tebal di luar, kebebasan di dalam. Siapa pun yang sudah melewati pintu utama dianggap aman dan boleh bergerak bebas. Asumsi itu kini rapuh. Kerja jarak jauh, perangkat pribadi, layanan cloud, dan ancaman dari dalam organisasi membuat batas jaringan sulit ditentukan lagi.

Zero trust menjawab masalah itu dengan prinsip sederhana: jangan percaya, verifikasi. Tidak ada lalu lintas yang otomatis aman hanya karena berasal dari dalam jaringan kantor. Setiap permintaan akses diperiksa identitas dan konteksnya sebelum izin diberikan. Artikel ini membahas konsep dasar zero trust, alasan di baliknya, dan langkah penerapan bertahap — untuk pembelajaran pada sistem milik sendiri atau sistem yang diizinkan.

Kenapa Berada di Dalam Jaringan Tidak Lagi Berarti Tepercaya

Model perimeter menganggap semua yang ada di dalam jaringan internal adalah milik organisasi dan bersifat tepercaya. Anggapan itu tidak lagi valid. Karyawan membawa laptop yang juga dipakai di rumah, terhubung ke Wi-Fi kafe, lalu menyambung ke jaringan kantor. Perangkat IoT seperti kamera atau printer sering menjalankan sistem yang jarang diperbarui. Penyerang yang berhasil mencuri kredensial lewat phishing masuk dengan identitas resmi, bukan dengan merobohkan tembok.

Jika lalu lintas internal dianggap otomatis aman, penyerang yang sudah masuk bisa bergerak lateral — menjelajah dari satu komputer ke komputer lain, mengakses server file, lalu mencapai data penting. Zero trust menolak asumsi itu. Posisi di dalam jaringan bukan lagi tiket masuk. Kepercayaan tidak diberikan permanen, melainkan dinilai ulang terus-menerus.

Ancaman dari dalam juga bagian dari pertimbangan. Karyawan yang tidak puas atau akun yang disalahgunakan tetap bisa menyalahakses sumber daya jika tidak ada pembatasan. Prinsip zero trust membatasi ruang gerak setiap identitas, sehingga kerusakan yang bisa ditimbulkan lebih kecil meski satu akun berhasil dibobol.

Verifikasi Identitas dan Konteks pada Setiap Permintaan

Inti zero trust adalah pemeriksaan setiap permintaan sebelum akses diberikan. Pemeriksaan itu mencakup identitas — siapa yang meminta, perangkat apa yang dipakai, dari lokasi mana, pada jam berapa, dan sumber daya apa yang dituju. Konteks menentukan apakah permintaan itu wajar. Akun finance yang login dari kantor pada jam kerja adalah hal biasa. Akun yang sama login dari negara lain pada dini hari layak dicurigai.

Verifikasi identitas diperkuat dengan autentikasi multi-faktor (MFA) dan single sign-on (SSO). Kondisi perangkat juga diperiksa — apakah sistem operasi diperbarui, apakah antivirus aktif, apakah perangkat dikelola organisasi. Akses bersifat kondisional: permintaan yang memenuhi kriteria lolos, yang menyimpang ditolak atau diminta verifikasi tambahan.

Prinsip least privilege melengkapi verifikasi. Pengguna hanya mendapat akses yang dibutuhkan untuk tugasnya, tidak lebih. Hak akses ditinjau berkala agar tidak menumpuk seiring perpindahan jabatan. Verifikasi juga tidak berhenti setelah login. Sesi dinilai ulang saat pengguna membuka aplikasi lain atau meminta data sensitif, sehingga satu kali login tidak membuka semua pintu sekaligus.

Penerapan Bertahap: Mulai dari Identitas dan Segmentasi

Zero trust bukan proyek yang selesai dalam semalam. Penerapannya bertahap dan dimulai dari dua fondasi: identitas dan segmentasi jaringan.

Langkah pertama adalah inventarisasi. Petakan aset — komputer, server, aplikasi, dan data — lalu identifikasi mana yang paling kritis. Tanpa daftar ini, pembatasan akses tidak punya acuan.

Langkah kedua adalah memperkuat identitas. Terapkan MFA untuk semua akun, terutama admin dan akun yang mengakses data penting. Perketat kebijakan kata sandi dan gunakan SSO agar jumlah kredensial yang dikelola lebih sedikit. Identitas adalah titik pemeriksaan utama dalam zero trust, jadi fondasi ini harus kuat dulu.

Langkah ketiga adalah segmentasi jaringan. Bagi jaringan menjadi zona-zona kecil — misalnya zona keuangan, zona pengembangan, dan zona tamu. Lalu lintas antarzona dibatasi dan diawasi. Jika satu zona terkompromi, penyerang tidak langsung bisa menjangkau zona lain. Segmentasi bisa dimulai dari hal sederhana seperti memisahkan Wi-Fi tamu dari jaringan internal.

Langkah keempat adalah menerapkan least privilege secara bertahap, dimulai dari sistem paling sensitif. Langkah kelima adalah pencatatan dan pemantauan. Kumpulkan log login dan akses, lalu tinjau aktivitas yang mencurigakan. Penerapan yang baik dimulai dari proyek percontohan kecil, dievaluasi, lalu diperluas — bukan mengganti seluruh sistem sekaligus.

Konsep zero trust dipelajari melalui praktik, tetapi praktik harus dilakukan pada sistem milik sendiri atau sistem yang secara resmi diizinkan. Memindai, menguji, atau menyerang jaringan orang lain tanpa izin adalah pelanggaran hukum, termasuk di bawah undang-undang informasi dan transaksi elektronik. Niat belajar tidak membenarkan aksi ilegal.

Bangun laboratorium rumahan dengan mesin virtual — instalasi sistem operasi dalam lingkungan terisolasi di komputer pribadi. Di sana Anda bisa berlatih konfigurasi identitas, segmentasi, dan pemantauan tanpa menyentuh sistem pihak ketiga. Untuk memperdalam dasar jaringan dan keamanan, situs kalilinux.net dan kalilinux.info menjadi referensi lanjutan yang membahas perangkat dan materi pembelajaran — gunakan secara etis dan hanya pada lingkungan yang Anda kuasai.

Zero trust adalah cara berpikir, bukan produk yang dibeli lalu selesai. Intinya sederhana: tidak ada lalu lintas yang otomatis aman, setiap permintaan diverifikasi identitas dan konteksnya, dan penerapannya dimulai dari identitas serta segmentasi jaringan. Mulai dari fondasi itu, ukur hasilnya, lalu perluas secara bertahap — dengan tetap berada di jalur yang legal dan bertanggung jawab.