Zero Trust Architecture 2026: Adopsi Massal di Perbankan dan Enterprise Indonesia

Jakarta, 20 Juli 2026 — Arsitektur Zero Trust tidak lagi sekadar buzzword di industri keamanan siber Indonesia. Tahun 2026 menandai titik balik: Bank Indonesia melalui Surat Edaran Nomor 24/SE/DKSP/2025 mewajibkan implementasi Zero Trust Architecture (ZTA) untuk seluruh bank komersial sebelum akhir 2026, sementara BSSN menerbitkan Peraturan Kepala BSSN Nomor 2 Tahun 2026 tentang Standar Keamanan Siber Infrastruktur Vital yang mengadopsi prinsip Zero Trust sebagai baseline wajib. BRI, BCA, Bank Mandiri, dan BNI telah menyelesaikan tahap pilote dan memasuki rollout penuh di seluruh ekosistem digital mereka, menandai adopsi skala nasional yang tidak terelakkan lagi.

1. Latar Belakang Regulator: Dari Perimeter ke Identity

Model keamanan berbasis perimeter — firewall, VPN, dan DMZ — gagal melindungi perusahaan Indonesia dari gelombang ransomware 2023–2025 yang menargetkan VPN vulnerabilitas (CVE-2023-20198, CVE-2024-3400) dan credential theft via phishing. Laporan BSSN Tahunan 2025 mencatat 47.000 insiden keamanan siber, naik 38% dari 2024, dengan sektor perbankan sebagai target utama (32% total insiden).

Respons regulator datang cepat. UU PDP (Undang-Undang Perlindungan Data Pribadi) mulai diberlakukan penuh Oktober 2024, mengharuskan organisasi menerapkan "keamanan yang memadai" (Artikel 15). BSSN menginterpretasikan ketentuan ini melalui Peraturan Kepala BSSN No. 2/2026 yang eksplisit menyebutkan prinsip Zero Trust: "Never trust, always verify" sebagai keharusan untuk Infrastruktur Informasi Vital (IIV).

Kutipan Utama: "Zero Trust bukan proyek TI, tapi strategi bisnis. Bank yang gagal beradaptasi tidak hanya berisiko denda UU PDP hingga 2% pendapatan tahunan, tapi kehilangan kepercayaan nasabah yang sulit dibangun kembali." — Hilman Fadilah, Kepala Pusat Operasi Keamanan Siber BSSN, Juli 2026

2. Implementasi Nyata: Studi Kasus BRIBrain Zero Trust

BRI melalui platform BRIBrain Security menjadi teladan implementasi Zero Trust skala enterprise di Indonesia. Arsitektur yang dideploy mencakup:

• Identity Provider (IdP) terpusat dengan Azure AD + PingIdentity untuk 120.000 karyawan dan 45 juta nasabah digital
• Micro-segmentation menggunakan Cisco ACI + Illumio Core memisahkan 2.400 workload di hybrid cloud (on-premise + Azure + AWS)
• Continuous Authentication dengan risk-based MFA (FIDO2, biometrik behavioral) — 99,2% transaksi divalidasi tanpa password
• Zero Trust Network Access (ZTNA) mengganti VPN untuk 18.000 karyawan remote via Zscaler Private Access
• Data Loss Prevention (DLP) terintegrasi dengan Microsoft Purview untuk klasifikasi otomatis data PII nasabah per UU PDP

Hasilnya: waktu deteksi insiden turun dari 4,2 jam (2024) ke 12 menit (Q2 2026), zero successful ransomware incident sejak Q3 2025, dan biaya operasional keamanan turun 27% melalui konsolidasi vendor.

# Contoh policy Zero Trust BRIBrain (Illumio Core label-based)

label "core-banking" {
  role = "mission-critical"
  compliance = ["PCI-DSS", "POJK-71", "UU-PDP"]
}

label "employee-laptop" {
  role = "endpoint"
  trust-level = "low"
}

# Default deny: core-banking hanya terhubung ke authorized services
policy {
  from label "employee-laptop"
  to label "core-banking"
  action deny
  log true
}

# Hanya via ZTNA gateway dengan device posture check
policy {
  from label "employee-laptop"
  to label "ztna-gateway"
  protocol tcp
  port 443
  action allow
  condition device_posture == "compliant" && mfa_verified == true
}

3. Tantangan Khusus Indonesia: Legacy, Talenta, dan Sumber Daya

Meski regulasi mendorong, implementasi Zero Trust di Indonesia menghadapi tiga hambatan struktural:

Ketergantungan Legacy System — 68% bank Indonesia (survei OJK 2025) masih menjalankan core banking mainframe usia 15–25 tahun (Tandem, IBM z/OS) yang tidak mendukung API modern atau identity federation. Solusi interim: API gateway dengan protocol translation (ISO 8583 → REST) dan mainframe access control via RACF/Top Secret integration ke IdP.

Kesenjangan Talenta — Butuh 12.000 engineer Zero Trust (arsitek, implementer, SOC analyst) hingga 2027, tapi lulusan sertifikat (ZTX, CCZT, AZ-500) baru 2.300/orang/tahun. BRI, BCA, dan Telkom membentuk Zero Trust Academy internal dengan kurikulum 6 bulan + sertifikasi vendor. BSSN bekerjasama BNSP untuk standar kompetensi "Ahli Zero Trust Architecture" tingkat nasional.

Biaya Total Ownership (TCO) — Estimasi implementasi Zero Trust penuh untuk bank buku IV: Rp 150–300 miliar (capex + opex 3 tahun). Bank buku III dan BPR terbebani. OJK mendorong model shared SOC dan Zero Trust as a Service via BSSN-Cloud (infrastruktur GPU souveren IOH/BRIN) untuk menekan biaya 40–60%.

4. Peta Jalan 2026–2027: Dari Compliance ke Resilience

Di luar perbankan, BUMN energi (PLN, Pertamina), telekomunikasi (Telkom, Indosat), dan e-commerce (Tokopedia, Shopee, Blibli) mengadopsi roadmap serupa. Kementerian Kominfo menyiapkan Presidential Regulation on Cyber Resilience yang akan menjadikan Zero Trust wajib bagi seluruh penyelenggara sistem elektronik (PSE) kategori tinggi.

Kesimpulan

Tahun 2026 adalah momentum make or break bagi keamanan siber Indonesia. Zero Trust Architecture bukan pilihan tapi keharusan regulatif dan eksistensial. Organisasi yang memperlakukan ZTA sebagai proyek compliance semata akan terjebak biaya tinggi tanpa keamanan nyata. Yang berhasil adalah yang mengintegrasikan Zero Trust ke arsitektur enterprise, mengotomatisasi verifikasi berkelanjutan dengan AI/ML, dan mengembangkan talenta internal — bukan sekadar beli alat. Indonesia punya momentum: regulasi jelas, talenta mulai tumbuh, dan infrastruktur souveren (Garuda Cloud, IOH DC) siap. Tugas CISO dan CIO sekarang: eksekusi disiplin, mengukur maturity tiap kuartal, dan jadikan keamanan siber sebagai keunggulan kompetitif, bukan beban biaya.