Ketika AI Bikin Penipu dan Hacker Makin Canggih, Zero Trust Bisa Jadi Solusi

Pusat Data Nasional Sementara Indonesia dibobol hacker Ransomware pada 2024. Mengapa infrastruktur nasional menjadi target penyerangan? Bagaimana AI akan memudahkan hacker menyerang infrastruktur penting seperti pusat data?

Memang ada faktor serangan baru yang muncul. Dampaknya akan sangat bergantung pada bagaimana AI diintegrasikan ke dalam infrastruktur penting. 

Oleh karena itu, kami selalu menekankan pentingnya mengadopsi arsitektur zero trust sejak awal. Pendekatan ini menjadi fondasi yang sangat penting sebelum menerapkan AI generatif.

Tanpa penerapan zero trust, risiko dan kompleksitas teknis dalam mengintegrasikan solusi AI ke sistem infrastruktur penting akan meningkat tajam, sehingga potensi serangan pun bisa semakin besar.

Oleh karena itu, membangun rasa aman dan kepercayaan terhadap sistem menjadi hal yang sangat penting. Saat kita mulai memasuki era ketika AI berperan semakin besar sehingga kita tidak lagi melakukan banyak hal sendiri, melainkan menyerahkannya kepada sistem atau pihak lain, maka kita harus memastikan bahwa semua penerapan dilakukan dengan cara yang benar dan aman sejak awal.

Saya pikir menerapkan konsep zero trust di seluruh organisasi merupakan salah satu strategi paling efektif untuk memperkuat postur keamanan siber, yakni:

• Memahami posisi keamanan saat ini
• Membuat peta jalan untuk mencapai sistem zero trust secepat mungkin
• Memperhatikan manajemen permukaan serangan (attack surface management). Teknologi ini memungkinkan kita melihat organisasi dari perspektif penyerang, bagaimana tampilan dari luar, di mana letak kerentanan, sistem apa yang terhubung ke internet, serta risiko apa yang menyertainya.

Dengan begitu, bisa menentukan alokasi anggaran secara lebih tepat, memprioritaskan area paling berisiko, dan mengurangi celah keamanan secara strategis.

Pendekatan ini penting karena program peningkatan zero trust biasanya membutuhkan waktu cukup lama, tergantung pada kondisi organisasi. Dengan manajemen permukaan serangan yang dijalankan secara paralel, Anda dapat mengurangi risiko dengan cepat sembari terus membangun sistem keamanan zero trust secara bertahap.

Satu hal lain yang ingin saya tekankan adalah kemampuan menghadapi ancaman pasca-kuantum (post-quantum capabilities). Saat ini, sudah ada fokus yang cukup besar terhadap ancaman kuantum di masa depan, terutama menjelang 2030 hingga 2035, ketika komputer kuantum mulai berkembang pesat.

Oleh karena itu, mulai sekarang kita perlu memikirkan strategi, teknologi, dan tata kelola yang relevan untuk menghadapi era tersebut. Dengan perencanaan dini, kita dapat memastikan organisasi tidak tertinggal dan tetap siap menghadapi tantangan keamanan baru yang muncul di masa depan.

Sektor bisnis atau infrastruktur apa yang paling banyak menjadi sasaran serangan siber berbasis AI?

Saya rasa tidak ada satu sektor tertentu yang menjadi fokus utama. Akan tetapi, ketika berbicara tentang sektor Operational Technology seperti kontrol SCADA alias Supervisory Control and Data Acquisition, utilitas, listrik, air, dan sebagainya, sektor-sektor inilah yang kemungkinan memberikan dampak paling besar. 

Alasannya, banyak teknologi yang digunakan di bidang itu sudah diterapkan 20 hingga 30 tahun lalu, dan sering kali tidak diperbarui secara berkala. Dalam banyak kasus, perangkat yang digunakan masih berada di lapangan. Untuk memperbaruinya pun harus dilakukan secara manual, bahkan dengan mengirim orang untuk mengganti atau memperbaiki perangkat secara fisik.

Selain itu, industri-industri ini cenderung memprioritaskan waktu operasional dan ketersediaan sistem dibandingkan keamanan dan integritas perangkat. Oleh karena itu, sektor Operational Technology menjadi area yang sangat penting untuk diperhatikan. 

Apalagi, kita sekarang mulai melihat perkembangan seperti jaringan listrik pintar dan berkelanjutan, serta baterai pintar yang dapat menyimpan energi, menyalurkannya kembali ke jaringan listrik, atau mengambil daya dari jaringan itu.

Di masa depan, sistem seperti itu berpotensi dikendalikan oleh algoritma AI, yang berarti risiko keamanannya akan meningkat. Oleh sebab itu, kita perlu memastikan semua sistem benar-benar aman sebelum teknologi AI diintegrasikan lebih jauh ke dalam infrastruktur penting seperti ini. 

Di Indonesia, ada tren penipuan berbasis AI seperti video deepfake hingga penelepon palsu yang meniru suara. Bagaimana Anda melihat tren ini?

Ini baru satu bagian dari keseluruhan ancaman. Saat ini, kita melihat bahwa para penyerang benar-benar memanfaatkan AI di setiap tahap rantai serangan siber.

Jika mengacu pada rantai serangan siber Lock Bit Malware, yang mencakup tahapan mulai dari pengintaian (reconnaissance) hingga tindakan objektif (objective actions), para penyerang kini bekerja berdampingan dengan AI sebagai pengganda kekuatan untuk bergerak jauh lebih cepat dan efisien.

Dalam praktiknya, yang paling sering kita lihat yakni penggunaan AI pada tahap awal serangan, upaya masuk ke dalam jaringan target. Biasanya, mereka melakukannya dengan cara rekayasa sosial, seperti menulis email palsu atau bahkan menggunakan video deepfake untuk meyakinkan korban. Metode ini sangat efektif karena menyerang sisi manusia dari sistem keamanan.

Namun, jika kita singkirkan semua aspek teknis, inti dari masalah ini sebenarnya soal identitas. Pertanyaannya sederhana, “bagaimana kita tahu bahwa orang yang menghubungi kita benar-benar adalah orang yang dia klaim?”

Sebelum seseorang mengeklik tautan di email atau menanggapi panggilan telepon, langkah pertama yang harus dipastikan adalah memverifikasi identitas pihak tersebut. Ini alasan mengapa kami selalu menekankan pentingnya penerapan prinsip zero trust.

Salah satu dari lima pilar utama zero trust adalah identitas. Oleh karena itu, jika kita melihat ke depan, dalam rentang waktu enam, 12 hingga 18 bulan ke depan, kemampuan organisasi untuk membangun, memverifikasi, dan mengelola identitas digital secara efektif akan menjadi faktor penentu keberhasilan dalam menghadapi serangan di setiap tahap rantai siber.

Bagaimana perusahaan menghadapi tren penipuan berbasis AI?

Saya rasa, salah satu penerapan terbaik untuk menghadapi ancaman deepfake yakni menggunakan autentikasi multifaktor. Misalnya, dalam panggilan video, seseorang mungkin terlihat dan terdengar seperti orang yang kita kenal. 

Namun, jika kita menambahkan langkah keamanan tambahan, seperti mengatakan, “baiklah, saya akan mengirimkan kode terlebih dahulu sebelum kita melanjutkan”, maka deepfake tidak akan bisa mengakses kode itu.

Banyak industri kini mulai menerapkan sistem semacam ini. Misalnya, ketika saya menghubungi pihak bank atau perusahaan asuransi, mereka biasanya akan menanyakan tiga atau empat faktor verifikasi, baik melalui telepon maupun panggilan video, sebelum proses bisa dilanjutkan. 

Artinya, lapisan verifikasi identitas yang beragam menjadi kunci utama dalam mencegah penipuan berbasis deepfake.

Selain itu, dengan munculnya agen AI, yaitu sistem AI yang bisa melakukan berbagai tugas tanpa interaksi manusia, memiliki pilar identitas yang kuat juga menjadi sangat penting.

Sebab, agen AI akan menjalankan ribuan transaksi otomatis, dan tidak semuanya bisa diawasi langsung oleh manusia. Maka, memastikan setiap proses memiliki validasi identitas yang aman dan berlapis akan menjadi hal yang sangat krusial.

(halaman selanjutnya: dampak tren edit foto pakai AI ke penipuan)