Tim kecil sering kali bertemu Zero Trust melalui pertanyaan praktis yang berantakan: “Kami sudah menggunakan VPN untuk pekerjaan jarak jauh. Apakah kami harus menggantinya?”
Pertanyaan yang lebih baik biasanya lebih sempit. Apa yang masih harus ditangani oleh VPN, dan apa yang harus dipindahkan ke dalam aturan identitas, perangkat, kebijakan, pemantauan, dan akses di sekitarnya?
Di sinilah migrasi praktis Zero Trust dimulai. Hal ini tidak dimulai dengan slogan atau keputusan platform raksasa. Hal ini dimulai dengan memperlakukan setiap sambungan jarak jauh sebagai permintaan yang memerlukan konteks: siapa yang menyambung, dari perangkat mana, ke sumber daya mana, dan untuk tujuan apa.
Apa yang Zero Trust Berubah Tentang Akses Jarak Jauh
NIST mendeskripsikan Zero Trust sebagai peralihan dari ketergantungan pada perimeter jaringan statis dan menuju perlindungan pengguna, aset, dan sumber daya. Dalam bahasa Inggris yang sederhana, berada “di jaringan” tidak secara otomatis berarti seseorang atau perangkat mendapat akses luas.
Untuk tim kecil, gagasan itu penting karena pekerjaan jarak jauh jarang lagi dilakukan dari satu jaringan kantor yang bersih. Orang-orang terhubung dari rumah, hotel, ruang kerja bersama, hotspot seluler, situs klien, dan perangkat pribadi. Kontraktor mungkin memerlukan satu dasbor tetapi tidak seluruh lingkungan perusahaan. Seorang pendiri mungkin memerlukan panel admin saat bepergian. Rekan setim dukungan mungkin memerlukan jalur akses yang stabil, tetapi hanya untuk perangkat yang terbatas.
Itulah masalah bisnis sebenarnya di balik akses jarak jauh zero trust: tim memerlukan konektivitas jarak jauh yang berguna tanpa memperlakukan setiap koneksi yang berhasil sebagai kepercayaan luas.
Dimana VPN Masih Cocok
VPN masih dapat berguna dalam model ini. Ini dapat membuat jalur jaringan terenkripsi, membantu membuat rute akses lebih dapat diprediksi, dan mendukung alur kerja yang memerlukan IP sumber stabil atau koneksi terlindungi sebagai bagian dari rutinitas pengoperasian.
Misalnya, tim kecil mungkin menggunakan VPN ketika:
- mengakses dasbor admin dari jaringan publik atau bersama;
- menghubungkan kontraktor melalui jalur akses jarak jauh yang ditentukan;
- menjaga perilaku SaaS dalam daftar yang diizinkan agar lebih mudah diprediksi;
- memisahkan lalu lintas kerja dari paparan Wi-Fi lokal;
- mengurangi keacakan akses dari hotel, bandara, atau coworking space.
Poin pentingnya adalah VPN dan zero trust tidak boleh dibingkai sebagai pilihan pemenang mengambil segalanya. VPN menjawab satu bagian dari pertanyaan akses: bagaimana lalu lintas berpindah antara pengguna dan sumber daya. Pemikiran Zero Trust mengajukan pertanyaan tambahan sebelum dan sesudah hubungan itu ada.
Apa yang VPN Tidak Boleh Diminta
Masalah dimulai ketika VPN menjadi satu-satunya gerbang.
Jika setiap orang berbagi satu kredensial, tim tidak dapat dengan mudah mengetahui siapa yang terhubung. Jika setiap pengguna menjangkau setiap sumber daya internal setelah tersambung, jalur VPN terlalu luas. Jika perangkat tidak di-patch, dilindungi, atau dilepas, koneksi mungkin terlihat sah sementara titik akhir tetap berisiko. Kalau tidak ada peninjauan siapa yang butuh akses, izin lama akan menumpuk.
VPN juga tidak menggantikan:
- otentikasi multi-faktor;
- pengelola kata sandi dan kata sandi unik;
- pembaruan perangkat dan kebersihan titik akhir;
- penutupan akun;
- izin berbasis peran;
- kesadaran phishing;
- pemantauan dan peninjauan log;
- aturan yang jelas untuk akses kontraktor dan admin.
Ini tidak membuat VPNs menjadi usang. Artinya VPN harus memiliki tugas yang ditentukan di dalam rencana akses yang lebih luas.
Migrasi Tim Kecil Zero Trust Tanpa Pembangunan Berlebihan
Organisasi besar mungkin menggunakan model kematangan yang terperinci dan program arsitektur akses aman yang lebih luas. Tim kecil dapat meminjam prinsip-prinsip tersebut tanpa berpura-pura memiliki staf, anggaran, atau infrastruktur yang sama.
Mulailah dengan langkah-langkah ini.
1. Buat daftar sumber daya yang sebenarnya bisa dijangkau oleh orang-orang
Tuliskan sistem yang diakses oleh pekerja jarak jauh, admin, kontraktor, dan pendiri. Jaga agar tetap konkrit:
- dasbor admin;
- repositori kode atau lingkungan pementasan;
- alat keuangan;
- sistem dukungan pelanggan;
- sistem manajemen konten;
- penyimpanan cloud bersama;
- aplikasi internal;
- Akun SaaS dengan pengaturan sensitif.
Jangan memulai dengan “jaringan” sebagai satu hal besar. Mulailah dengan sumber daya. Hal ini sesuai dengan gagasan Zero Trust bahwa perlindungan harus fokus pada apa yang orang coba gunakan, bukan hanya dari mana mereka terhubung.
2. Petakan siapa yang membutuhkan setiap sumber daya
Selanjutnya, tanyakan siapa yang benar-benar membutuhkan akses. Salinan produk pengeditan kontraktor mungkin tidak memerlukan dasbor penagihan. Rekan tim dukungan mungkin memerlukan alat pelanggan tetapi tidak memerlukan akses pencatatan domain. Pengembang mungkin memerlukan akses pementasan tetapi tidak semua panel admin produksi.
Di sinilah akses dengan hak istimewa paling rendah menjadi praktis. Tujuannya bukan untuk membuat pekerjaan menjadi menyakitkan. Tujuannya adalah untuk menghapus izin yang tidak dapat dipertahankan oleh siapa pun.
Untuk setiap sumber daya, tentukan:
- pemilik;
- pengguna atau peran yang disetujui;
- alasan akses;
- metode akses normal;
- jadwal peninjauan;
- pemilik luar kapal.
Bahkan spreadsheet sederhana pun lebih baik daripada mengandalkan memori.
3. Lakukan pemeriksaan identitas sebelum akses sensitif
Zero Trust memperlakukan identitas sebagai sinyal akses inti. Untuk tim kecil, peningkatan pertama sering kali bersifat mendasar namun berharga: akun unik, autentikasi multifaktor, dan tidak ada login bersama untuk alat sensitif.
Jika kredensial VPN dibagikan oleh seluruh tim, perbaiki pola tersebut sebelum menambahkan kompleksitas. Akses bersama membuat proses offboarding menjadi lebih sulit dan melemahkan akuntabilitas. Berikan akun individual kepada orang-orang di mana pun alat tersebut mengizinkannya, dan jaga agar metode pemulihan tetap berada di bawah kendali perusahaan.
4. Tentukan ekspektasi perangkat
Zero Trust juga menanyakan apakah perangkat harus dipercaya untuk pekerjaan yang diminta. Sebuah tim kecil mungkin tidak menjalankan pemeriksaan postur perangkat perusahaan, namun masih dapat menentukan ekspektasi minimum:
- pembaruan sistem operasi terkini;
- kunci layar diaktifkan;
- tidak ada perangkat keluarga atau publik bersama untuk pekerjaan admin;
- pengelola kata sandi diinstal;
- browser dan aplikasi kerja diperbarui;
- proses perangkat hilang diketahui;
- perangkat pribadi dihapus dari akses ketika seseorang keluar.
Intinya bukan untuk mengklaim keamanan perangkat yang sempurna. Hal ini untuk berhenti memperlakukan “memiliki kata sandi” sebagai satu-satunya syarat untuk akses.
5. Gunakan VPN untuk jalur yang membantu
Setelah dasar-dasar identitas dan perangkat lebih jelas, putuskan di mana VPN berada.
Bagi banyak tim kecil, VPN Unlimited by KeepSolid dapat cocok sebagai lapisan VPN dalam rutinitas kerja jarak jauh ketika tim memerlukan jalur koneksi yang terlindungi. Aturan yang mendasarinya tetap penting: siapa yang boleh menggunakannya, sumber daya apa yang didukungnya, kapan harus diaktifkan, dan pemeriksaan lain apa yang diperlukan.
Itu adalah model yang lebih sehat daripada “nyalakan VPN dan semuanya ditangani.”
Pola Akses Praktis
Berikut adalah pola sederhana yang dapat digunakan tim kecil untuk perencanaan akses jarak jauh yang aman:
- Pengguna masuk dengan akun perorangan.
- Otentikasi multi-faktor diperlukan untuk sumber daya sensitif.
- Pengguna terhubung melalui VPN saat bekerja dari Wi-Fi publik, jaringan perjalanan, atau skenario akses jarak jauh yang ditentukan.
- Dasbor sensitif terbatas pada pengguna atau peran yang disetujui.
- Akses admin ditinjau sesuai jadwal.
- Karyawan dan kontraktor yang keluar akan dihapus dari akun, akses VPN, dan daftar yang diizinkan.
- Insiden dan perintah login yang mencurigakan didokumentasikan, bukan diabaikan.
Pola ini bukan Arsitektur Zero Trust lengkap. Ini adalah jembatan yang dapat dikelola dari “kita memiliki VPN” ke “kita tahu siapa yang dapat mencapai apa, dari kondisi apa, dan mengapa.”
Kesalahan Umum Selama Zero Trust Migrasi
Memperlakukan Zero Trust sebagai pertukaran produk
Zero Trust bukan hanya produk akses baru. Kerangka kematangan CISA memperlakukan migrasi sebagai sebuah perjalanan, yang merupakan pengingat berguna untuk tim yang lebih kecil. Alat dapat membantu, namun model operasi penting: inventaris, identitas, perangkat, kebijakan akses, visibilitas, dan tinjauan berkelanjutan.
Mempertahankan kebiasaan akses bersama yang lama
Akun bersama berguna sampai seseorang keluar, perangkat hilang, atau tim perlu memahami apa yang terjadi. Jika sumber daya penting, akses individual harus menjadi default.
Memberi VPN terlalu banyak otoritas
Koneksi VPN seharusnya tidak membuka kunci setiap sumber daya secara otomatis. Jika satu-satunya aturan adalah “terhubung sama dengan dipercaya”, tim belum benar-benar mengubah model aksesnya.
Melupakan kontraktor
Kontraktor seringkali membutuhkan akses cepat untuk pekerjaan yang sempit. Hal ini menjadikan mereka contoh yang baik untuk aturan yang lebih baik: sumber daya yang terbatas, tanggal mulai dan berakhir yang jelas, nama pemilik, dan penghapusan bersih ketika pekerjaan berakhir.
Aturan menulis tidak ada yang bisa mengikuti
Tim kecil membutuhkan kebiasaan yang membosankan dan berulang. Jika proses tersebut memerlukan spesialis keamanan untuk setiap keputusan login, orang akan mengabaikannya. Mulailah dengan kontrol yang benar-benar dapat Anda pertahankan.
Daftar Periksa Sederhana untuk Tim Kecil
Gunakan daftar periksa ini sebelum memperluas akses jarak jauh:
- Tahukah kita sumber daya mana yang sensitif?
- Apakah setiap orang menggunakan akun perorangan?
- Apakah autentikasi multifaktor diaktifkan di tempat yang paling penting?
- Apakah kita mengetahui perangkat mana yang dapat diterima untuk pekerjaan admin?
- Apakah penggunaan VPN diperlukan untuk Wi-Fi publik atau jalur akses yang ditentukan?
- Apakah daftar SaaS yang diizinkan, dasbor admin, dan alat internal terbatas pada orang yang tepat?
- Apakah kontraktor mempunyai tanggal mulai, tanggal berakhir, dan pemilik akses?
- Apakah kami menghapus akses dengan cepat ketika seseorang keluar?
- Apakah kami meninjau izin setidaknya sesekali?
- Tahukah kita apa yang dilakukan dan apa yang tidak dilakukan VPN?
Jika beberapa jawaban adalah “tidak”, langkah selanjutnya belum tentu merupakan alat yang lebih besar. Ini mungkin kepemilikan yang lebih jelas dan lebih sedikit izin yang tidak diperlukan.
Pertanyaan Umum
Apakah VPN sama dengan Zero Trust?
Tidak. VPN dapat menyediakan jalur koneksi terenkripsi, namun Zero Trust adalah pendekatan keamanan yang lebih luas yang berfokus pada pengguna, perangkat, sumber daya, kebijakan, dan verifikasi. VPN mungkin merupakan satu lapisan di dalam pendekatan itu, bukan keseluruhan sistem.
Haruskah tim kecil berhenti menggunakan VPNs selama migrasi Zero Trust?
Tidak secara otomatis. VPN masih dapat mendukung pekerjaan jarak jauh, perlindungan Wi-Fi publik, jalur akses yang dapat diprediksi, dan alur kerja admin. Langkah yang lebih baik adalah menentukan di mana VPN membantu dan menambahkan kontrol identitas, perangkat, dan izin di sekitarnya.
Apa langkah Zero Trust pertama untuk tim kecil?
Mulailah dengan membuat daftar sumber daya sensitif dan siapa yang membutuhkannya. Kemudian hapus akses bersama jika memungkinkan, aktifkan autentikasi multifaktor untuk akun penting, dan persempit izin untuk kebutuhan pekerjaan sebenarnya.
Apakah Zero Trust memerlukan infrastruktur perusahaan?
Tidak di awal. Program Zero Trust yang matang bisa menjadi kompleks, namun tim kecil dapat memulai dengan inventaris sumber daya, akun individual, autentikasi multifaktor, ekspektasi perangkat, tinjauan akses, dan aturan penggunaan VPN yang lebih jelas.
Bisakah VPN menjamin akses jarak jauh yang aman?
Tidak. VPN dapat menjadi bagian yang berguna dari kebersihan akses jarak jauh, namun tidak dapat menjamin keamanan atau menggantikan perlindungan akun, pembaruan perangkat, resistensi phishing, manajemen izin, pemantauan, atau penghentian yang baik.
Intinya
Migrasi zero trust tidak harus dimulai dengan membuang semua alat yang sudah dikenal. Untuk tim kecil, titik awal yang lebih berguna adalah menentukan tanggung jawab masing-masing alat.
Gunakan VPN yang dapat membantu jalur akses jarak jauh terenkripsi dan dapat diprediksi. Tambahkan pemeriksaan identitas sehingga akses menjadi milik orang sungguhan, bukan kredensial bersama. Tetapkan ekspektasi perangkat. Izin sempit. Tinjau siapa yang dapat menjangkau sumber daya sensitif. Hapus akses ketika pekerjaan berakhir.
Begitulah cara VPN dapat masuk ke dalam pemikiran Zero Trust tanpa berpura-pura menjadi keseluruhan program Zero Trust.