Kepercayaan Nol di Era Kecerdasan Buatan: Data, AI, dan Keamanan

Informatec Digital » Sumber Daya » Zero Trust di Era Kecerdasan Buatan: Data, AI, dan Keamanan

Munculnya kecerdasan buatan generatif telah mengubah peta persaingan di bidang keamanan siber: teknologi yang sama yang mendorong inovasi bisnis juga memungkinkan serangan yang lebih cepat, lebih kredibel, dan otomatis . Tim keamanan kini dipaksa untuk mempertahankan infrastruktur hibrida, dengan pengguna jarak jauh, layanan cloud, dan sistem industri yang terhubung, sementara peraturan semakin ketat dan anggaran tidak selalu seimbang.

Dalam skenario ini, semakin jelas bahwa model "perimeter aman" lama sudah mati dan filosofi Zero Trust telah menjadi standar baru . Tantangannya sekarang adalah mengadaptasinya ke dunia di mana perlu untuk mengontrol tidak hanya orang dan perangkat, tetapi juga model AI, agen otonom, dan aliran data yang bergerak dengan kecepatan mesin antar platform, aplikasi, dan cloud.

Mengapa AI menantang model keamanan tradisional

Kecerdasan buatan telah menjadi pedang bermata dua: ia memperkuat pertahanan, tetapi juga meningkatkan persenjataan para penjahat siber . Saat ini, sangat mudah untuk membuat kampanye phishing yang sangat personal, deepfake suara atau video, malware polimorfik , atau penipuan otomatis yang didukung oleh AI generatif.

Pada saat yang sama, organisasi mengelola infrastruktur yang semakin heterogen : lingkungan multicloud (AWS, Azure, Google Cloud, Oracle), SaaS, pusat data mereka sendiri, jaringan OT industri, dan ribuan pekerja jarak jauh . Semua ini dengan data penting yang tersebar di mana-mana, rantai pasokan digital yang kompleks, dan tekanan regulasi yang semakin meningkat (NIS2, DORA, peraturan industri).

Para ahli keamanan siber sepakat bahwa masalahnya bukanlah serangan yang diblokir, tetapi serangan yang tidak terdeteksi . Musuh menyamarkan diri di dalam lalu lintas yang sah, mengeksploitasi kredensial yang dicuri , menyalahgunakan API, dan mengandalkan AI untuk bergerak secara lateral dengan sangat diam-diam, seringkali memanfaatkan titik akses "tepercaya" yang kurang terkontrol.

Dalam menghadapi skenario ini, arsitektur berbasis perimeter lama — VPN tradisional , jaringan datar, kepercayaan implisit pada apa yang ada di "dalam" —

Dari keamanan perimeter hingga pendekatan Zero Trust

Selama bertahun-tahun, keamanan TI didasarkan pada metafora kastil bertembok: di dalam, semuanya dapat dipercaya; di luar, semuanya mencurigakan . Firewall di perimeter, VPN untuk masuk, dan setelah masuk, akses tak terbatas ke jaringan internal. Model ini runtuh ketika karyawan bekerja dari mana saja, aplikasi dihosting di cloud, dan data berpindah antar vendor, mitra, dan perangkat IoT.

Untuk mengatasi pergeseran ini, pada tahun 2010 Forrester mempopulerkan model Zero Trust, yang secara konseptual dipelopori oleh John Kindervag, dengan ide yang sederhana namun radikal: “jangan pernah percaya, selalu verifikasi .” Tidak masalah apakah koneksi berasal “dari dalam” atau “dari luar,” semua akses harus diautentikasi, diotorisasi, dan dipantau secara terus-menerus.

Prinsip dasar Zero Trust dapat diringkas dalam tiga pilar: verifikasi asal yang ketat dan independen, akses dengan hak akses minimal, dan asumsi permanen adanya potensi kompromi . Dengan kata lain, diasumsikan bahwa jaringan dapat dikompromikan dan bahwa setiap pengguna—bahkan pengguna internal—dapat menjadi ancaman, baik karena kesalahan maupun niat jahat.

Seiring waktu, pendekatan ini telah berkembang dari konsep teoretis menjadi konsep dengan pedoman konkret. Publikasi NIST SP 800-207 dan model kematangan CISA menandai titik balik , menyediakan arsitektur referensi untuk jaringan, aplikasi, dan data. Secara paralel, di Eropa, rekomendasi NIS2 dan ENISA mendorong sektor-sektor penting untuk mengintegrasikan otentikasi yang kuat, segmentasi, dan kontrol akses berkelanjutan.

Kepercayaan Nol di Era AI: Ketika Agen Otonom Mendobrak Pola

Gelombang pertama Zero Trust dirancang dengan mempertimbangkan orang dan perangkat yang relatif statis : pengguna manusia, tim perusahaan, aplikasi bisnis tradisional. Namun, AI telah mengubah realitas ini secara mendalam.

Model AI—terutama model bahasa besar (LLM) dan agen otonom— beroperasi secara dinamis, melintasi batas sistem, dan memanipulasi data sensitif dalam hitungan detik . Mereka dapat membaca email, meluncurkan alur kerja, memodifikasi file, berinteraksi dengan API, atau membuat keputusan tanpa pengawasan manusia secara terus-menerus.

OWASP, dalam Top 10 Risks for GenAI and LLM, memperingatkan tentang apa yang disebut "kekuasaan yang berlebihan": ketika AI diberikan terlalu banyak otonomi atau kapasitas untuk bertindak . Agen yang mengirim email atas nama para eksekutif, bot yang memindahkan uang antar rekening, asisten yang melakukan perubahan pada sistem produksi… Setiap fungsi ini membuka vektor serangan baru jika tidak dikendalikan dengan benar.

Pendekatan Zero Trust yang berpusat pada manusia tidak memadai: pendekatan ini tidak mampu menangani ribuan keputusan per menit yang dibuat oleh algoritma . Menerapkan prinsip hak akses minimal secara manual pada setiap tindakan setiap agen sama sekali tidak layak. Di sinilah evolusi kunci muncul: menggeser fokus dari identitas ke data.

Zero Trust berfokus pada data: data sebagai bidang kendali baru

Dalam lingkungan yang didominasi AI, yang benar-benar penting bukanlah lagi hanya siapa yang mengakses data, tetapi data apa yang mereka akses, bagaimana mereka mengubahnya, dan dengan siapa mereka membagikannya . Batasan jaringan kehilangan maknanya, dan batasan baru menjadi data itu sendiri.

Para analis seperti Forrester, dengan kerangka kerja seperti AEGIS untuk tata kelola AI, menekankan bahwa keamanan harus bergeser ke arah pengamatan data, konteks, dan akuntabilitas . Hal ini melibatkan memungkinkan inovasi dengan AI, tetapi di bawah kendali yang didasarkan pada klasifikasi informasi, silsilah data, dan aturan yang dapat diaudit untuk penggunaannya. Untuk melindungi informasi sensitif, disarankan untuk menerapkan praktik dan kontrol yang mengurangi risiko kebocoran dan pencurian data.

Platform khusus menggabungkan kemampuan DSPM (Data Security Posture Management) dan AI-SPM (AI Security Posture Management) untuk menemukan di mana data sensitif berada di lingkungan cloud, SaaS, dan hybrid , bagaimana data tersebut digunakan, dan sistem AI mana yang mengaksesnya. Dari situ, kebijakan tata kelola diterapkan untuk mendeteksi perilaku berisiko (permintaan berbahaya, eksfiltrasi, aktivitas yang tidak biasa) dan mengotomatiskan pemblokiran atau peringatan.

Pergeseran ini mengubah Zero Trust menjadi arsitektur yang dinamis dan berbasis data, yang mampu berkembang dengan agen otonom dan model pembelajaran mandiri. Alih-alih secara memb盲盲 percaya pada AI untuk melakukan "hal yang benar," pengamanan dinamis ditetapkan yang membatasi apa yang dapat dilihat dan dilakukannya berdasarkan sensitivitas dan konteks.

AI sebagai sekutu: SOC generasi berikutnya dan “agensi minimal”

AI tidak hanya menciptakan masalah; AI juga merupakan komponen kunci untuk mempertahankan Zero Trust dalam skala besar . Volume sinyal keamanan saat ini (log, telemetri jaringan, aktivitas cloud, peristiwa identitas, dll.) sangat besar dan sulit ditangani oleh tim manusia mana pun tanpa dukungan otomatis.

Para vendor keamanan siber mengintegrasikan AI canggih ke dalam platform perlindungan, deteksi, dan respons mereka . Hal ini mencakup berbagai hal, mulai dari mesin yang menganalisis ratusan triliun peristiwa untuk mengungkap anomali, hingga agen cerdas di SOC yang mampu menyelidiki insiden, mengkorelasikan peringatan, dan mengeksekusi tindakan tanpa intervensi manual.

Perusahaan-perusahaan terkemuka sedang bereksperimen dengan konsep Agentic SOC: pusat operasi keamanan yang didukung oleh agen AI yang bekerja berdampingan dengan analis . Agen-agen ini memahami konteks infrastruktur, merekomendasikan langkah-langkah penahanan, menulis laporan, mengotomatiskan playbook, dan, dalam beberapa kasus, mengeksekusi respons secara langsung dalam batasan yang telah ditentukan dengan baik.

Kuncinya terletak pada penerapan prinsip yang mirip dengan prinsip hak akses minimal (least privilege) pada AI, tetapi diadaptasi: model "agen minimal" yang direkomendasikan oleh OWASP . Ini membatasi tidak hanya data yang dapat diakses oleh agen, tetapi juga tindakan spesifik yang dapat dilakukannya. Tidak ada bot yang boleh diberi wewenang untuk "melakukan segalanya" dalam lingkungan produksi kecuali benar-benar diperlukan.

Contoh dunia nyata: Zero Trust dan AI di perbankan, energi, industri, dan pangan

Teorinya bagus, tetapi di sinilah Zero Trust membuktikan nilainya di sektor-sektor kritis , di mana satu kesalahan dapat menyebabkan pabrik berhenti beroperasi, layanan keuangan terhenti, atau jutaan pengguna kehilangan aliran listrik.

Di sektor perbankan, kekhawatiran berpusat pada penipuan, pencurian identitas, dan pelanggaran data . Lembaga keuangan berupaya membangun Pusat Operasi Keamanan (SOC) yang sangat skalabel yang menggabungkan telemetri besar-besaran, analitik berbasis AI, dan otomatisasi. Tujuannya adalah untuk mengantisipasi pola penipuan, memblokir aktivitas mencurigakan secara real-time, dan beralih dari model yang sepenuhnya reaktif ke model proaktif. Kemampuan untuk memulihkan dan mengamankan akun yang diretas sangat penting untuk mengurangi dampak serangan ini.

Di sektor energi, para pemain seperti perusahaan listrik besar menghadapi perimeter paparan yang sangat besar: jutaan meter pintar, ribuan gardu transformator, dan tim lapangan yang mengakses sistem pusat . Selain itu, seringkali terdapat pemisahan yang sangat ketat antara lingkungan TI dan OT, yang sering dianggap saling tidak dapat dipercaya. Migrasi ke Zero Trust dalam konteks ini berarti mencapai visibilitas terpadu dan membedakan di dalam Pusat Operasi Keamanan (SOC) apa yang dianggap sebagai serangan dari, misalnya, pembaruan perangkat massal yang terjadwal.

Dalam industri manufaktur, di mana kontinuitas produksi sangat penting, Zero Trust adalah realitas yang sangat nyata: jika PLC atau robot berhenti, dampaknya langsung terasa . Produsen dengan produk yang bertahan selama beberapa dekade hidup berdampingan dengan teknologi OT lama, protokol yang tidak aman, dan konektivitas cloud yang terus meningkat. Salah satu tantangan utama adalah menyatukan visibilitas dan kontrol atas campuran solusi IT dan OT ini, mencapai tampilan terpadu yang menampilkan semuanya mulai dari jaringan mesin hingga cloud pelanggan.

Di perusahaan makanan dengan pabrik otomatis, kekhawatiran yang muncul adalah akses jarak jauh tanpa izin ke peralatan industri dapat berdampak langsung pada produksi . Prinsipnya jelas: tidak ada pemasok yang boleh mengakses PLC atau robot tanpa sesi yang dikontrol, dipantau, dan dapat dicabut secara ketat dalam waktu nyata, dengan perekaman aktivitas dan masa berlaku izin.

Rantai pasokan digital, LLM, dan risiko pelanggaran data

Di luar infrastruktur internal, banyak organisasi menemukan bahwa kelemahan utama mereka terletak pada rantai pasokan digital . Mereka bekerja setiap hari dengan bank, mitra teknologi, integrator, perusahaan fintech, penyedia cloud, dan banyak lainnya, yang semuanya terhubung dengan sistem perusahaan dalam satu atau lain cara.

Setiap tautan menghadirkan potensi titik masuk: pihak ketiga dengan praktik keamanan yang buruk dapat menjadi pintu belakang untuk serangan yang lebih besar . Hal ini memerlukan evaluasi menyeluruh terhadap akses B2B, pembatasan izin, segmentasi lingkungan, dan pemantauan integrasi berbasis API.

Selain itu, muncul kekhawatiran yang semakin besar terkait penggunaan LLM eksternal: risiko bahwa informasi internal dapat "memberi makan" model publik-privat tanpa kendali atau keterlacakan . Dokumen strategis, data pelanggan, atau kode hak milik dapat bocor secara tidak sengaja ketika digunakan sebagai konteks dalam alat AI tanpa pengamanan yang memadai.

Zero Trust yang diterapkan pada AI di sini berarti membangun kontrol DLP (Data Loss Prevention) yang kuat , mengatur apa yang dapat dikirim ke model mana, mensyaratkan residensi data, dan, jika memungkinkan, memilih penerapan privat atau "walled gardens" di mana organisasi memiliki kendali nyata atas apa yang dilatih dan apa yang tidak.

Menerapkan Zero Trust dengan AI: langkah praktis dan tantangannya

Menerapkan strategi Zero Trust bukan sekadar memasang beberapa alat; ini adalah perjalanan strategis, teknis, dan budaya . Meskipun demikian, beberapa langkah praktis dapat ditentukan untuk memulai dengan baik.

Langkah pertama adalah visibilitas: menginventarisasi aset, data, identitas, dan alur . Sangat penting untuk mengetahui sistem apa yang ada, informasi penting apa yang mereka tangani, siapa (atau agen AI apa) yang mengaksesnya, dan dari mana. Alat penemuan dan klasifikasi data membantu mengidentifikasi "aset berharga" di cloud publik, SaaS, dan lingkungan on-premise.

Selanjutnya adalah penilaian risiko dan penetapan kebijakan: mengklasifikasikan proses bisnis berdasarkan dampaknya, menentukan siapa yang dapat mengakses apa dan dalam kondisi apa . Ini termasuk kebijakan akses yang terperinci, segmentasi jaringan, penetapan "zona" OT/IT, perlindungan API, dan aturan yang jelas tentang penggunaan layanan AI.

Implementasi biasanya dilakukan secara bertahap: dimulai dengan identitas (MFA tahan phishing, Single Sign-On, manajemen hak akses modern), diikuti oleh ZTNA/SASE untuk akses, dan kemudian, mikrosegmentasi dan perlindungan data mendalam . Setiap fase disertai dengan pemantauan berkelanjutan untuk menyesuaikan kebijakan dan mencegah tindakan yang terlalu ketat melumpuhkan operasional bisnis.

Sepanjang perjalanan ini, hambatan-hambatan yang sudah biasa muncul: resistensi terhadap perubahan, kompleksitas teknis, sistem lama yang sulit diadaptasi, dan alat-alat yang terfragmentasi . Pelatihan, manajemen perubahan, dan konsolidasi pada platform terintegrasi (SSE, SASE, rangkaian observabilitas) merupakan pengungkit penting untuk menghindari menjadi korban kesuksesan.

AI, autentikasi cerdas, dan layanan terkelola

AI juga mengubah cara otentikasi. Alih-alih hanya mengandalkan kata sandi atau faktor statis, sistem modern menggunakan otentikasi adaptif berbasis risiko . Sistem ini menganalisis lokasi, perangkat, pola penggunaan, kecepatan mengetik, dan bahkan perilaku mouse untuk menentukan apakah suatu permintaan sah atau mencurigakan.

Jenis otentikasi berbasis AI ini sangat cocok untuk Zero Trust: setiap upaya login dievaluasi secara dinamis, berpotensi memerlukan faktor tambahan, membatasi izin, atau memblokir akses sepenuhnya ketika risikonya tinggi. Semua ini terjadi hampir tanpa disadari oleh pengguna yang sah, yang mengalami lebih sedikit hambatan saat berperilaku seperti biasa.

Bidang lain di mana AI unggul adalah dalam respons otomatis: jika sebuah perangkat mulai mengeksfiltrasi data, agen jahat bergerak secara lateral, atau pengguna mengunduh sejumlah besar informasi yang tidak wajar , mesin deteksi dapat mengisolasi titik akhir, mencabut token, menutup sesi, dan meluncurkan investigasi hampir secara instan.

Bagi banyak organisasi, terutama yang berukuran menengah, membangun tingkat kecanggihan ini secara internal sangatlah rumit. Di sinilah layanan keamanan siber terkelola berperan, menawarkan SOC 24/7, pemantauan tingkat lanjut, manajemen akses berbasis AI, dan otomatisasi keamanan tanpa memaksa perusahaan untuk membangun semuanya dari awal.

Perubahan budaya: “Generasi Zero Trust” dan kesenjangan digital

Di luar teknologi, Zero Trust menuntut pergeseran budaya dalam memahami kepercayaan di lingkungan digital . Ini bukan tentang "tidak mempercayai orang," tetapi tentang menerima bahwa setiap sistem dapat gagal dan cara terbaik untuk melindungi pengguna dan bisnis adalah dengan tidak pernah berasumsi bahwa hal buruk akan terjadi.

Menariknya, generasi muda yang tumbuh besar menggunakan media sosial, gim video daring, dan layanan digital sejak kecil cukup akrab dengan lingkungan di mana kepercayaan harus diperoleh dan aturannya ketat . Kelompok ini mulai disebut, agak ironisnya, sebagai "Generasi Tanpa Kepercayaan."

Di sisi lain dari kesenjangan digital, beberapa staf senior mungkin menganggap langkah-langkah keamanan sebagai hambatan yang tidak perlu atau sebagai tanda ketidakpercayaan pribadi . Kuncinya di sini adalah menjelaskan dengan jelas tujuan setiap kontrol, menunjukkan kasus insiden nyata, dan menegaskan bahwa tujuannya adalah untuk melindungi organisasi dan karyawannya.

Autentikasi multi-faktor, segmentasi akses, atau verifikasi berkelanjutan tidak lagi dianggap sebagai "gangguan" ketika dipahami bahwa satu klik pada email berbahaya dapat mengaktifkan serangan yang sangat canggih yang didukung oleh AI , dengan konsekuensi ekonomi, hukum, dan reputasi yang serius.

Jika dilihat dalam jangka pendek dan menengah, semuanya menunjukkan bahwa Zero Trust dan Kecerdasan Buatan (AI) akan terus menyatu, menjadi dua sisi mata uang yang sama : AI sebagai mesin untuk mengamati, menganalisis, dan menanggapi apa yang terjadi secara real-time; dan Zero Trust sebagai kerangka kerja untuk membatasi, memverifikasi, dan mengatur apa yang dapat dilakukan oleh manusia, mesin, dan model. Organisasi yang berhasil menyeimbangkan otonomi dan kontrol, melindungi data tanpa menghambat inovasi, akan menjadi organisasi yang paling siap dalam lingkungan digital di mana kepercayaan tidak lagi diberikan secara cuma-cuma, melainkan dirancang.