Sistem kerja hibrida (hybrid work) kini telah menjadi standar baru bagi banyak perusahaan modern. Karyawan tidak lagi terikat pada meja kantor; mereka bekerja dari rumah, kafe, hingga saat dalam perjalanan bisnis. Di satu sisi, model kerja ini memberikan fleksibilitas dan efisiensi yang tinggi. Namun di sisi lain, perimeter keamanan tradisional—seperti benteng jaringan (firewall) dan VPN—menjadi tidak lagi cukup untuk melindungi data bisnis.
Dahulu, keamanan TI berpatokan pada prinsip bahwa siapa pun yang berada di dalam jaringan kantor dapat dipercaya secara otomatis. Kini, ketika perangkat kerja terhubung dari berbagai lokasi dan jaringan publik yang berbeda, model kepercayaan implisit tersebut justru membuka celah keamanan yang sangat besar. Jika satu kredensial pengguna berhasil diretas, peretas dapat mengakses berbagai sistem internal tanpa hambatan.
Untuk mengatasi ancaman ini, konsep keamanan Zero-Trust hadir sebagai pendekatan baru. Prinsip dasarnya sederhana tetapi tegas: never trust, always verify atau jangan pernah percaya secara otomatis, selalu lakukan verifikasi.
Di dalam ekosistem Google Workspace, penerapan pendekatan Zero-Trust dapat dilakukan melalui Context-Aware Access (CAA). Fitur ini memungkinkan perusahaan menentukan apakah pengguna boleh mengakses aplikasi berdasarkan tidak hanya identitasnya, tetapi juga kondisi perangkat, jaringan, lokasi, dan faktor keamanan lainnya.
Bersama AquaOrange Indonesia, perusahaan dapat menerapkan strategi keamanan Zero-Trust yang dinamis untuk melindungi aset digital tanpa menghilangkan fleksibilitas kerja karyawan.
Mengapa Lingkungan Kerja Hybrid Membutuhkan Zero-Trust?
Model kerja hibrida mengubah cara interaksi antara pengguna, perangkat, dan data perusahaan. Karyawan kini mengakses aplikasi bisnis sensitif menggunakan berbagai media, mulai dari laptop perusahaan dan ponsel pribadi (Bring Your Own Device / BYOD) hingga jaringan Wi-Fi rumah dan jaringan publik.
Risiko keamanan meningkat ketika autentikasi hanya bergantung pada username dan password. Kredensial dapat dicuri melalui teknik phishing, malware, atau kebocoran data. Bahkan verifikasi dua langkah (2SV) yang diterapkan secara standar tetap perlu dilengkapi dengan kontrol tambahan untuk memastikan bahwa akses berasal dari kondisi yang dapat dipercaya.
Dalam lingkungan hybrid, identitas pengguna tidak seharusnya menjadi satu-satunya dasar pemberian akses. Perusahaan juga perlu mempertimbangkan konteks saat permintaan akses terjadi.
Misalnya, tim IT dapat mempertimbangkan apakah perangkat tersebut merupakan perangkat perusahaan atau perangkat pribadi, apakah sistem operasinya masih diperbarui, apakah penyimpanan perangkat telah dienkripsi, serta apakah pengguna mengakses dari jaringan atau lokasi yang sesuai dengan kebijakan organisasi.
Dengan evaluasi seperti ini, perusahaan dapat mengurangi risiko ketika akun yang sah digunakan dari perangkat yang tidak aman atau dari lokasi yang tidak biasa.
Bagaimana Context-Aware Access Bekerja?
Context-Aware Access (CAA) memungkinkan administrator menerapkan kebijakan akses berdasarkan kondisi tertentu. Berbeda dengan aturan akses yang hanya menentukan apakah pengguna boleh atau tidak boleh masuk, CAA dapat digunakan untuk membuat kontrol yang lebih terperinci berdasarkan konteks akses.
Ketika pengguna mencoba mengakses layanan Google Workspace yang dilindungi kebijakan CAA, sistem akan mengevaluasi kondisi yang telah ditentukan administrator sebelum akses diberikan.
Kondisi tersebut dapat mencakup identitas pengguna dan karakteristik perangkat, seperti jenis perangkat, sistem operasi, serta status pengelolaan perangkat. Administrator juga dapat menggunakan informasi keamanan perangkat, seperti apakah perangkat memenuhi persyaratan tertentu yang telah ditetapkan organisasi.
Selain itu, kebijakan dapat mempertimbangkan atribut jaringan seperti alamat IP yang diizinkan atau lokasi tertentu.
Jika seluruh kondisi yang diperlukan terpenuhi, akses dapat diberikan. Sebaliknya, ketika pengguna mencoba mengakses layanan dari kondisi yang tidak memenuhi kebijakan, akses dapat dibatasi atau ditolak sesuai konfigurasi organisasi.
Contohnya, perusahaan dapat menerapkan kebijakan yang mengharuskan akses ke data keuangan hanya dilakukan dari perangkat perusahaan yang memenuhi persyaratan keamanan tertentu.
Rancang Kebijakan Akses Berdasarkan Sensitivitas Data
Salah satu keunggulan pendekatan Context-Aware Access adalah perusahaan tidak harus menerapkan satu aturan yang sama kepada seluruh pengguna dan aplikasi.
Kebijakan dapat disesuaikan berdasarkan jenis layanan, kelompok pengguna, serta tingkat sensitivitas data yang ingin dilindungi.
Untuk aplikasi dan layanan yang bersifat umum, seperti Google Meet atau Google Calendar, perusahaan dapat memberikan akses yang lebih fleksibel sehingga karyawan tetap dapat bekerja dari berbagai lokasi dan perangkat.
Sementara itu, layanan yang digunakan untuk pekerjaan operasional seperti Gmail dan Google Docs dapat diberikan persyaratan keamanan tambahan. Misalnya, akses hanya diperbolehkan dari perangkat yang memenuhi standar keamanan organisasi.
Untuk layanan dan data yang sangat sensitif, seperti Google Admin Console atau dokumen keuangan perusahaan, kebijakan dapat dibuat jauh lebih ketat. Perusahaan dapat membatasi akses berdasarkan perangkat yang dikelola, jaringan tertentu, atau kondisi keamanan lainnya yang dianggap penting.
Dengan pendekatan bertingkat seperti ini, tim IT tidak perlu mengunci seluruh sistem secara berlebihan. Karyawan tetap dapat bekerja secara fleksibel untuk aktivitas sehari-hari, sementara data yang paling sensitif mendapatkan perlindungan yang lebih ketat.
Integrasikan CAA dengan Pengelolaan Perangkat
Context-Aware Access dapat bekerja lebih efektif ketika dipadukan dengan Google Workspace Endpoint Management. Melalui pengelolaan perangkat, tim IT dapat memantau perangkat yang digunakan untuk mengakses data perusahaan dan menerapkan kebijakan keamanan sesuai kebutuhan.
Dalam skenario BYOD, perusahaan dapat menerapkan kebijakan yang membedakan penggunaan data pribadi dan data pekerjaan. Misalnya, akses ke aplikasi bisnis pada perangkat pribadi dapat mensyaratkan penggunaan PIN, screen lock, atau mekanisme keamanan tertentu.
Jika perangkat hilang atau dicuri, administrator juga dapat menerapkan tindakan terhadap data perusahaan sesuai kemampuan pengelolaan perangkat yang digunakan, tanpa harus menghapus seluruh data pribadi karyawan.
Kondisi perangkat juga dapat menjadi bagian dari keputusan akses. Jika perangkat tidak lagi memenuhi persyaratan keamanan, misalnya menggunakan versi sistem operasi yang sudah tidak didukung, akses ke layanan perusahaan dapat dibatasi sampai perangkat memenuhi persyaratan yang ditentukan.
Pendekatan ini memberikan perlindungan tambahan terhadap data perusahaan sekaligus membantu menjaga pemisahan antara kebutuhan keamanan organisasi dan privasi pengguna.
Terapkan Kebijakan Berdasarkan Lokasi dan Jaringan
Meskipun model kerja hybrid memberikan kebebasan lokasi, terdapat situasi tertentu ketika pembatasan berdasarkan jaringan atau lokasi diperlukan.
Melalui atribut jaringan yang tersedia dalam kebijakan akses kontekstual, administrator dapat menentukan kondisi jaringan yang dianggap aman. Misalnya, akses administratif tertentu dapat dibatasi hanya untuk jaringan perusahaan atau alamat IP yang telah ditentukan.
Perusahaan juga dapat menerapkan kebijakan berdasarkan lokasi sebagai bagian dari strategi keamanan. Misalnya, aktivitas akses dari wilayah yang tidak termasuk dalam area operasional perusahaan dapat memerlukan kontrol tambahan atau dibatasi sesuai kebijakan.
Untuk karyawan yang sedang melakukan perjalanan bisnis, perusahaan dapat menyediakan kebijakan yang sesuai dengan kebutuhan operasional mereka tanpa harus membuka seluruh akses secara permanen.
Dengan pendekatan ini, lokasi dan jaringan menjadi salah satu faktor tambahan dalam menentukan apakah sebuah permintaan akses sesuai dengan kebijakan keamanan perusahaan.
Terapkan Zero-Trust Secara Bertahap
Penerapan Zero-Trust dengan Context-Aware Access sebaiknya dilakukan secara bertahap agar tidak mengganggu aktivitas operasional sehari-hari.
Langkah pertama adalah melakukan inventarisasi perangkat, pengguna, aplikasi, dan data yang akan dilindungi. Perusahaan kemudian dapat mengelompokkan layanan berdasarkan tingkat sensitivitas dan menentukan persyaratan akses untuk masing-masing kelompok.
Sebelum menerapkan kebijakan yang dapat memblokir pengguna, tim IT sebaiknya melakukan pengujian dan meninjau dampak kebijakan tersebut. Dengan pendekatan ini, administrator dapat mengetahui pengguna atau perangkat mana yang belum memenuhi persyaratan sebelum aturan diterapkan secara penuh.
Karyawan juga perlu diberikan edukasi mengenai perubahan kebijakan. Misalnya, pengguna perlu mengetahui bahwa akses ke layanan tertentu membutuhkan perangkat yang dikelola, sistem operasi terbaru, atau konfigurasi keamanan tertentu.
Setelah pengujian selesai, kebijakan dapat diterapkan secara bertahap. Perusahaan dapat memulainya dari kelompok pengguna berisiko tinggi atau layanan yang paling sensitif sebelum memperluas penerapannya ke seluruh organisasi.
Kebijakan kemudian perlu ditinjau secara berkala. Perubahan pola kerja, perangkat baru, lokasi operasional, maupun kebutuhan bisnis dapat menyebabkan aturan yang sebelumnya sesuai perlu diperbarui.
Kesimpulan
Transformasi menuju lingkungan kerja hibrida menuntut perusahaan untuk memperbarui strategi keamanan informasi. Mengandalkan kata sandi atau jaringan internal saja tidak lagi cukup untuk melindungi aset digital dari berbagai ancaman modern.
Dengan menerapkan prinsip Zero-Trust melalui Context-Aware Access (CAA) di Google Workspace, perusahaan dapat membuat keputusan akses berdasarkan lebih dari sekadar identitas pengguna. Kondisi perangkat, jaringan, lokasi, dan persyaratan keamanan lainnya dapat menjadi bagian dari kebijakan akses.
Pendekatan ini memungkinkan perusahaan menjaga keseimbangan antara keamanan dan produktivitas. Karyawan tetap dapat bekerja secara fleksibel dari berbagai lokasi, sementara akses terhadap data dan layanan sensitif dapat diberikan hanya ketika kondisi yang ditentukan perusahaan terpenuhi.
Menjadikan identitas dan konteks sebagai bagian dari strategi keamanan membantu perusahaan membangun lingkungan kerja yang lebih aman, terkontrol, dan tetap fleksibel di mana pun karyawan bekerja.
Ingin menerapkan arsitektur keamanan Zero-Trust dan mengonfigurasi Context-Aware Access di lingkungan Google Workspace Anda? Tim ahli AquaOrange Indonesia siap membantu merancang kebijakan akses kontekstual, melakukan audit perangkat, serta mengoptimalkan fitur keamanan Google Workspace sesuai kebutuhan spesifik organisasi Anda.
