Zero Trust vs Traditional Security: Mana yang Tepat?

Zero Trust dan Traditional Security sama-sama bertujuan melindungi sistem, tetapi menggunakan dasar kepercayaan yang berbeda. Traditional Security menempatkan perimeter jaringan sebagai garis pertahanan utama. Zero Trust memeriksa setiap akses berdasarkan identitas, perangkat, konteks, serta hak yang benar-benar diperlukan.

Perbedaannya bukan berarti organisasi harus langsung membuang firewall, VPN, atau segmentasi jaringan yang sudah digunakan. Pertanyaan yang lebih tepat adalah: kapan kontrol perimeter masih memadai, kapan perlu ditambah verifikasi berbasis identitas, dan bagaimana melakukan transisi tanpa mengganggu operasi?

Artikel ini membandingkan kedua pendekatan sebagai bahan pengambilan keputusan. Untuk pembahasan definisi, prinsip, dan komponen Zero Trust secara lengkap, baca artikel apa itu Zero Trust.

Perbandingan Zero Trust dan Traditional Security — Sumber: Freepik

Ringkasan Perbedaan Zero Trust dan Traditional Security

Aspek	Traditional Security	Zero Trust
Dasar kepercayaan	Lokasi dan posisi di dalam jaringan	Identitas, perangkat, konteks, dan risiko
Model akses	Akses cenderung lebih luas setelah masuk perimeter	Akses minimum untuk sumber daya tertentu
Verifikasi	Berat di pintu masuk jaringan	Berulang ketika konteks atau risiko berubah
Segmentasi	Zona jaringan besar	Segmentasi berdasarkan aplikasi dan protect surface
Ancaman internal	Sering diasumsikan lebih rendah	Dianggap tetap mungkin terjadi
Lingkungan ideal	Jaringan terpusat dan relatif stabil	Cloud, hybrid, SaaS, dan akses terdistribusi
Monitoring	Fokus pada trafik di perimeter	Fokus pada keputusan akses dan perilaku

Apa yang Dimaksud Traditional Security?

Traditional Security adalah pendekatan yang membangun batas antara jaringan internal dan eksternal. Firewall, VPN, gateway, antivirus, serta intrusion detection digunakan untuk mencegah pihak tidak berwenang memasuki jaringan.

Model ini sering dianalogikan sebagai benteng. Pengamanan paling kuat ditempatkan di gerbang. Setelah seseorang berhasil masuk melalui jalur yang disetujui, sistem cenderung memberikan tingkat kepercayaan lebih besar.

Firewall tetap memiliki fungsi penting untuk memfilter trafik dan membatasi koneksi. Penjelasan lebih rinci tersedia pada artikel apa itu firewall.

Kelebihan Traditional Security

Konsepnya mudah dipahami dan sudah dikenal banyak tim.
Cocok untuk lingkungan yang asetnya terpusat.
Dapat menghentikan banyak trafik berbahaya sebelum masuk jaringan.
Integrasinya sering lebih sederhana pada sistem lama.
Biaya awal dapat lebih mudah diperkirakan jika infrastruktur tidak banyak berubah.

Keterbatasan Traditional Security

Lokasi jaringan digunakan sebagai indikator kepercayaan yang terlalu besar.
Akun yang berhasil masuk dapat memperoleh akses lebih luas daripada kebutuhan.
Pergerakan lateral sulit dibatasi jika segmentasi terlalu besar.
Kurang fleksibel untuk SaaS, cloud, dan kerja jarak jauh.
Insider threat atau akun internal yang disusupi dapat lolos dari asumsi perimeter.

Bagaimana Zero Trust Mengubah Model Akses?

Zero Trust tidak menganggap akses sah hanya karena berasal dari jaringan kantor atau melewati VPN. Setiap permintaan harus sesuai dengan kebijakan yang mempertimbangkan siapa pengguna, perangkat yang digunakan, sumber daya tujuan, dan tingkat risiko.

Pengguna tidak diberikan akses ke seluruh jaringan. Mereka hanya memperoleh akses ke aplikasi atau data yang dibutuhkan. Ketika kondisi berubah—misalnya perangkat tidak lagi sesuai standar atau lokasi akses tidak biasa—sistem dapat meminta verifikasi tambahan atau menghentikan session.

Kelebihan Zero Trust

Mengurangi dampak kredensial yang dicuri.
Membatasi pergerakan lateral.
Mendukung akses pengguna, vendor, dan perangkat dari berbagai lokasi.
Memberikan jejak keputusan akses yang lebih terperinci.
Lebih sesuai untuk aplikasi yang tersebar di cloud dan SaaS.

Keterbatasan Zero Trust

Membutuhkan inventaris identitas, aplikasi, dan alur data.
Kebijakan yang terlalu kompleks dapat membingungkan pengguna.
Sistem lama mungkin tidak mendukung integrasi identitas modern.
Tim perlu mengelola perubahan proses, bukan hanya teknologi.
Implementasi tanpa roadmap dapat menambah biaya dan beban operasional.

Perbandingan Berdasarkan Aspek Penting

1. Model Kepercayaan

Traditional Security menggunakan lokasi sebagai sinyal utama. Zero Trust menggunakan bukti yang dapat dievaluasi: identitas, device posture, kebijakan, dan konteks.

2. Autentikasi dan Otorisasi

Dalam model tradisional, autentikasi sering dilakukan ketika pengguna memasuki jaringan. Pada Zero Trust, autentikasi dan otorisasi dipisahkan. Berhasil login tidak otomatis berarti pengguna boleh membuka semua aplikasi.

3. Hak Akses

Traditional Security dapat memberikan akses pada segmen jaringan yang relatif luas. Zero Trust menerapkan least privilege dan membatasi akses berdasarkan aplikasi, role, waktu, atau kondisi lain.

4. Segmentasi

Segmentasi tradisional biasanya memisahkan jaringan internal, DMZ, dan eksternal. Zero Trust memperkecil cakupan dengan microsegmentation agar insiden pada satu aplikasi tidak mudah menyebar.

5. Akses Jarak Jauh

VPN memasukkan pengguna ke jaringan melalui tunnel. Pendekatan tersebut masih dapat dipakai, tetapi aksesnya perlu dibatasi. Pelajari konsep dasarnya pada artikel apa itu VPN.

Zero Trust lebih menekankan akses per aplikasi. Pengguna dapat membuka aplikasi yang diizinkan tanpa harus memperoleh visibilitas terhadap seluruh jaringan.

6. Cloud dan SaaS

Perimeter menjadi sulit ditentukan ketika aplikasi tersebar. Zero Trust lebih mudah diterapkan pada akses berbasis identitas. Untuk konteks arsitektur yang lebih khusus, baca penerapan Zero Trust di cloud.

7. Ancaman Internal

Traditional Security cenderung memberi kepercayaan lebih besar kepada akses internal. Zero Trust menganggap akun internal tetap dapat disalahgunakan, sehingga aktivitasnya perlu dibatasi dan dipantau.

8. Pengalaman Pengguna

Model tradisional dapat terasa sederhana selama pengguna berada di kantor, tetapi akses jarak jauh sering bergantung pada VPN. Zero Trust dapat lebih praktis bila kebijakan dirancang proporsional, tetapi dapat menimbulkan friksi jika verifikasi terlalu sering.

9. Monitoring

Traditional Security berfokus pada trafik masuk dan keluar. Zero Trust menggabungkan log identitas, aplikasi, perangkat, dan policy decision untuk memahami siapa mengakses apa.

10. Biaya dan Kompleksitas

Traditional Security mungkin lebih murah untuk lingkungan kecil dan terpusat. Namun, kompleksitasnya meningkat ketika banyak kantor, cloud, SaaS, dan pengguna jarak jauh harus dihubungkan. Zero Trust membutuhkan investasi awal pada identitas dan integrasi, tetapi dapat mengurangi ketergantungan pada akses jaringan yang terlalu luas.

Model akses pada Zero Trust dan keamanan tradisional — Sumber: Freepik

Mana yang Lebih Aman?

Tidak ada model yang aman hanya karena namanya. Traditional Security dapat bekerja dengan baik jika perimeter, segmentasi, patching, serta monitoring dikelola secara disiplin. Zero Trust juga dapat gagal jika role terlalu luas, identity provider tidak terlindungi, atau kebijakannya tidak pernah diuji.

Namun, untuk lingkungan yang memiliki cloud, SaaS, vendor, perangkat pribadi, dan akses jarak jauh, Zero Trust memberikan dasar kontrol yang lebih sesuai. Model ini tidak bergantung pada asumsi bahwa semua pihak di dalam jaringan aman.

Pilihan yang realistis biasanya bukan “firewall atau Zero Trust”, melainkan kombinasi. Firewall membatasi trafik, SSL mengenkripsi koneksi, endpoint protection melindungi perangkat, dan Zero Trust mengatur keputusan akses.

Untuk memahami peran enkripsi pada website, baca apa itu SSL. Kamu juga dapat Lihat pilihan Sertifikat SSL DomaiNesia sebagai salah satu langkah melengkapi perlindungan koneksi website.

Lengkapi Perlindungan Website dengan SSL

Zero Trust mengatur siapa yang boleh mengakses sumber daya, sedangkan SSL membantu mengenkripsi koneksi antara pengguna dan website. Gunakan keduanya sebagai lapisan keamanan yang saling melengkapi.

Lihat Sertifikat SSL DomaiNesia

Kapan Traditional Security Masih Memadai?

Traditional Security masih dapat menjadi fondasi utama ketika:

Aplikasi dan pengguna berada di satu lokasi.
Jumlah perangkat serta akun relatif sedikit.
Sistem lama sulit diintegrasikan dengan identity provider.
Akses dari luar jaringan sangat terbatas.
Segmentasi dan hak akses sudah dikelola dengan ketat.

Meski demikian, organisasi tetap perlu menghindari akses internal tanpa batas. Least privilege, MFA, patching, logging, dan review akses dapat diterapkan sebelum program Zero Trust yang lebih luas dimulai.

Kapan Zero Trust Menjadi Prioritas?

Karyawan dan mitra bekerja dari banyak lokasi.
Aplikasi tersebar di cloud, data center, dan SaaS.
Organisasi sering memberikan akses kepada vendor.
Data sensitif perlu dibatasi berdasarkan role.
VPN memberikan akses jaringan terlalu luas.
Audit membutuhkan bukti siapa mengakses aplikasi tertentu.
Akun administrator dan service account perlu dikendalikan lebih ketat.

Roadmap Transisi Tanpa Mengganti Semuanya Sekaligus

Fase 1: Perkuat Fondasi

Inventarisasi akun, aplikasi, data, dan perangkat.
Aktifkan MFA untuk akun kritis.
Hapus akun tidak aktif dan hak akses berlebihan.
Pastikan logging tersedia.

Fase 2: Pilih Satu Aplikasi

Pilih aplikasi dengan pengguna jelas dan dampak terukur. Terapkan akses berbasis identitas, batasi role, dan uji skenario gagal.

Fase 3: Kurangi Akses Jaringan Luas

Ganti akses “masuk VPN lalu bebas melihat jaringan” dengan akses per aplikasi. Pertahankan jalur darurat yang terbatas dan diaudit.

Fase 4: Tambahkan Device dan Risk Context

Gunakan status perangkat, lokasi, dan perilaku sebagai syarat untuk aplikasi sensitif. Jangan menerapkan aturan yang sama pada semua sumber daya.

Fase 5: Perluas dan Ukur

Perluas ke aplikasi lain setelah pilot stabil. Ukur penurunan hak akses, waktu pencabutan akun, jumlah session berisiko, dan keluhan pengguna.

Untuk contoh implementasi akses per aplikasi, baca panduan Zero Trust dengan Cloudflare Access.

Decision Checklist

Pertanyaan	Jika “Ya”
Apakah pengguna bekerja dari banyak lokasi?	Prioritaskan akses berbasis identitas.
Apakah VPN memberi akses terlalu luas?	Mulai pilot per-application access.
Apakah banyak aplikasi berada di SaaS atau cloud?	Bangun kebijakan yang tidak bergantung pada jaringan kantor.
Apakah sistem lama belum mendukung SSO?	Pertahankan kontrol perimeter sambil membuat roadmap integrasi.
Apakah hak akses jarang ditinjau?	Perbaiki governance sebelum menambah teknologi.
Apakah organisasi perlu bukti akses terperinci?	Prioritaskan logging dan policy decision.

Kesalahan Saat Membandingkan Kedua Model

Menganggap Zero Trust berarti tidak mempercayai karyawan. Yang dihilangkan adalah kepercayaan otomatis, bukan hubungan kerja.
Menganggap firewall tidak lagi diperlukan. Zero Trust melengkapi kontrol jaringan, bukan menghapus semua lapisan lama.
Menganggap VPN selalu buruk. Masalahnya adalah akses yang terlalu luas, bukan teknologinya semata.
Mengukur keberhasilan dari jumlah tools. Hasil harus terlihat pada pembatasan akses dan penurunan risiko.
Migrasi sekaligus. Perubahan bertahap lebih mudah diuji dan dikoreksi.

FAQ Zero Trust vs Traditional Security

Apakah Zero Trust menggantikan firewall?

Tidak. Firewall tetap memfilter trafik, sedangkan Zero Trust menentukan apakah identitas atau perangkat tertentu boleh mengakses aplikasi dan data.

Apakah bisnis kecil membutuhkan Zero Trust?

Bisnis kecil dapat menerapkan prinsipnya secara bertahap, misalnya MFA, least privilege, akun terpisah, dan akses per aplikasi. Tidak harus memulai dengan arsitektur kompleks.

Apakah Zero Trust lebih mahal?

Biaya bergantung pada kondisi awal. Lingkungan sederhana mungkin membutuhkan investasi integrasi, sedangkan lingkungan yang sudah kompleks dapat memperoleh manfaat dari pengurangan akses luas dan konsolidasi kontrol.

Bisakah kedua model digunakan bersamaan?

Bisa. Banyak organisasi mempertahankan firewall dan segmentasi jaringan sambil menambahkan autentikasi berbasis identitas, least privilege, dan monitoring berkelanjutan.

Pilih Berdasarkan Risiko, Bukan Tren

Traditional Security tetap berguna untuk membatasi trafik dan melindungi jaringan terpusat. Zero Trust memberikan kontrol yang lebih sesuai ketika identitas, aplikasi, dan data tersebar di banyak lingkungan.

Organisasi tidak perlu mengganti semuanya sekaligus. Mulailah dengan mengidentifikasi aplikasi yang memiliki akses terlalu luas, perkuat identitas, lalu terapkan kebijakan per aplikasi. Dengan pendekatan ini, transisi menjadi keputusan berbasis risiko, bukan sekadar mengikuti tren keamanan.