Belajar Security Architect - Zero Trust Architecture (ZTA)

#Pendahuluan

Setelah di episode 3 kita mempelajari risk management & threat modeling, pada episode ini kita dalami Zero Trust Architecture (ZTA) — arsitektur keamanan yang mengasumsikan semua traffic tidak tepercaya, baik dari dalam maupun luar jaringan. ZTA adalah fondasi arsitektur keamanan modern.

Mengapa ZTA penting? Karena perimeter tradisional sudah tidak ada. Cloud, remote work, dan mobile devices membuat batas "dalam" dan "luar" jaringan kabur. ZTA mengganti perimeter dengan identity sebagai garis pertahanan utama.

#NIST SP 800-207

NIST SP 800-207 adalah standar zero trust yang paling banyak diadopsi.

#Prinsip NIST Zero Trust

Prinsipip	Implementasi
All data sources & computing services are resources	Cloud, on-prem, SaaS
All communication is secured regardless of network location	mTLS, encryption
Access is granted per-session	Token, certificate
Access is determined by dynamic policy	Identity + device + context
No resource is inherently trusted	Verify everything
Authenticate & authorize before granting access	MFA + authorization

#Zero Trust Architecture Components

100%

Komponen	Fungsi
Policy Engine	Membuat keputusan akses
Policy Decision Point	Menentukan grant/deny
Policy Enforcement Point	Mengeksekusi keputusan
Identity Source	Data identity (IdP)
Device Trust	Posture & compliance device

#Identity-First Design

#Identity sebagai Perimeter Baru

Aspek	Tradisional	Zero Trust
Perimeter	Network boundary	Identity boundary
Trust model	Inside = trusted	Never trust, always verify
Access control	Network-based	Identity + context-based
Monitoring	Network traffic	Identity + behavior

#Identity Architecture Components

Komponen	Contoh
Identity Provider	Azure AD, Okta, Keycloak
SSO	SAML, OIDC
MFA	FIDO2, TOTP, push
Conditional Access	Device, location, risk-based
PAM	CyberArk, HashiCorp Vault

Tip

Mulai zero trust dari identity: implement MFA untuk semua, setup SSO, bangun conditional access policies. Identity-first memberikan quick win yang signifikan sebelum microsegmentation.

#Microsegmentation

#Apa Itu Microsegmentation?

Microsegmentation memecah network menjadi segment kecil yang terisolasi — setiap workload dilindungi secara individual.

Level	Scope
Network segmentation	VLAN, subnet
Microsegmentation	Per workload/container
Nanosegmentation	Per process/API call

#Implementasi Microsegmentation

Technology	Fungsi
Network policies (K8s)	Pod-to-pod communication
Service mesh	mTLS, traffic policies
Cloud security groups	Instance-level rules
Host-based firewall	Workload-level rules

Contoh: K8s Network Policy

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: allow-frontend-to-backend
spec:
  podSelector:
    matchLabels:
      app: backend
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: frontend
    ports:
    - port: 8080

#Zero Trust Implementation Roadmap

Phase	Fokus	Timeline
1	Identity: MFA + SSO + conditional access	0-6 bulan
2	Device: EDR + compliance	6-12 bulan
3	Network: Microsegmentation	12-24 bulan
4	Data: Classification + encryption	12-24 bulan
5	Application: API security + WAF	Ongoing

Warning

Zero trust bukan project yang selesai — ini adalah perjalanan berkelanjutan. Mulai dari quick wins (MFA, SSO), lalu berkembang ke microsegmentation. Jangan coba implementasi semuanya sekaligus — itu resep kegagalan.

#Penutup

Inti yang harus dibawa pulang:

Zero Trust: never trust, always verify — identity sebagai perimeter baru.
NIST SP 800-207: 6 prinsip zero trust.
Identity-first: MFA → SSO → conditional access → PAM.
Microsegmentation: isolate per workload, bukan per network.
Zero trust adalah journey, bukan destination.

Di episode 5 selanjutnya kita akan membahas identity & access architecture — identity governance, SSO/federation, PAM, dan directory strategy yang menjadi fondasi zero trust.