Kebijakan Keamanan yang Konsisten di Lingkungan Cloud dan On-Premises
- Manajemen kebijakan hibrida memastikan satu set aturan yang disusun oleh satu pihak mengatur penerapan kebijakan baik di lingkungan on-premises maupun di cloud, dengan pengecualian yang telah didokumentasikan saja.
- Penyimpangan kebijakan merupakan hal yang wajar terjadi ketika lingkungan dikelola secara terpisah, sehingga upaya pencegahan memerlukan model operasional.
- Tentukan pemilik, beri nomor versi pada setiap perubahan, luncurkan secara bertahap, dan pastikan opsi rollback selalu siap.
- Satu register pengecualian dan pemeriksaan penyimpangan terjadwal memastikan keselarasan antara penegakan aturan di tingkat lokal dan di cloud.
- Satu mesin kebijakan untuk semua titik penegakan dapat menghilangkan sebagian besar pekerjaan sinkronisasi dan kesalahan terjemahan.
Manajemen kebijakan keamanan hibrida adalah praktik menetapkan kebijakan keamanan satu kali dan menerapkannya secara konsisten ke setiap titik penegakan, baik itu gateway di pusat data, perangkat cabang, maupun titik kehadiran di cloud. Tujuannya adalah agar pengguna, perangkat, jenis data, atau aplikasi diperlakukan dengan cara yang sama, terlepas dari titik penegakan mana yang menangani lalu lintas tersebut.
Artikel ini merupakan bagian dari panduan Keamanan Hybrid Cloud.
Mengapa kebijakan cenderung menyimpang dalam lingkungan hibrida
Drift terjadi ketika suatu tujuan yang sama diimplementasikan secara terpisah di lebih dari satu tempat:
- Sebuah gateway lokal dan layanan cloud yang memiliki sintaks aturan serta basis data kategori yang berbeda
- Pengecualian yang ditambahkan secara mendesak di satu lingkungan dan tidak pernah disinkronkan ke lingkungan lainnya
- Berbagai tim yang bertanggung jawab atas kebijakan keamanan jaringan, cloud, dan data
- Kamus DLP telah diperbarui untuk satu saluran, tetapi tidak untuk saluran lainnya
- Perubahan darurat yang dilakukan langsung pada perangkat di luar proses biasa
Akibatnya, tingkat keamanan bergantung pada lokasi pengguna saat itu. Auditor mengidentifikasinya, penyerang memanfaatkannya, dan proses pemecahan masalah menjadi lambat karena tidak ada yang yakin kebijakan mana yang berlaku. Sepuluh Strategi Mitigasi Keamanan Awan Teratas dari NSA dan CISA secara langsung menangani masalah ini, dengan strategi untuk penerapan otomatis yang aman melalui infrastruktur sebagai kode (Infrastructure as Code) serta untuk mengatasi kompleksitas lingkungan awan hibrida dan multi-awan.
Kepemilikan
Kebijakan yang konsisten dimulai dengan penentuan tanggung jawab yang jelas atas setiap bidang kebijakan, yang ditetapkan sebelum memilih instrumen yang akan digunakan.
| Bidang kebijakan | Pemilik pada umumnya | Pemberi Persetujuan |
|---|---|---|
| Akses web dan kategori | Tim keamanan jaringan atau web | Kepemimpinan di bidang keamanan, SDM untuk penggunaan yang sesuai |
| Akses aplikasi pribadi | Tim Identitas dan Akses | Pemilik aplikasi |
| Perlindungan data (DLP) | Tim Keamanan Data | Pemilik data, privasi, kepatuhan |
| Perlindungan terhadap ancaman | Operasi keamanan | Kepemimpinan di bidang keamanan |
| Dekripsi dan cara melewati TLS | Tim Keamanan Web | Privasi dan hukum |
| Pengecualian | Meminta pemilik usaha | Penanggung jawab bidang kebijakan |
Setiap aturan harus dapat ditelusuri ke pemiliknya dan alasan bisnis di baliknya.
Pengelolaan Versi
Perlakukan kebijakan keamanan layaknya kode, sehingga setiap perubahan ditinjau, dicatat, dan dapat dikembalikan ke keadaan semula:
- Simpan definisi kebijakan di sistem kontrol versi, atau gunakan platform yang menyimpan riwayat versi secara lengkap.
- Setiap perubahan harus disertai dengan deskripsi, nomor referensi tiket, dan nama pemberi persetujuan.
- Periksa perubahan sebelum penerapan, termasuk perbandingan (diff) dengan versi saat ini.
- Berikan label pada rilis agar setiap status penerapan dapat diidentifikasi dan dipulihkan.
Pengendalian manajemen konfigurasi dalam NIST SP 800-53 Rev. 5, termasuk konfigurasi dasar (CM-2) dan pengendalian perubahan konfigurasi (CM-3), berlaku bagi kebijakan keamanan sama halnya dengan server. NIST SP 800-128 menjelaskan praktik manajemen konfigurasi yang berfokus pada keamanan yang mendukung hal tersebut.
Peluncuran
Terapkan perubahan kebijakan secara bertahap agar masalah terdeteksi terlebih dahulu pada kelompok kecil sebelum menyebar ke semua orang:
- Lakukan validasi di lingkungan pengujian atau dengan alat simulasi kebijakan.
- Canary untuk sekelompok kecil pengguna atau satu situs.
- Pantau tingkat blokir, kesalahan, dan tiket layanan bantuan berdasarkan patokan.
- Perluas secara bertahap ke berbagai lokasi dan wilayah cloud.
- Pastikan bahwa setiap titik penegakan melaporkan versi yang baru.
Untuk perubahan mendesak yang dipicu oleh ancaman, tetapkan jalur percepatan yang tetap mencatat perubahan tersebut dan menyinkronkannya ke seluruh sistem.
Pengecualian
Pengecualian adalah hal yang paling cepat mengikis konsistensi.
Gunakan satu register pengecualian yang mencakup semua lingkungan:
- Cakupan: pengguna, grup, tujuan, kelas data, dan saluran
- Lingkungan: titik penegakan mana saja yang berlaku untuk pengecualian tersebut
- Alasan dan pemilik
- Tanggal kedaluwarsa atau tanggal peninjauan
- Kontrol kompensasi
Pengecualian harus dibuat dalam kebijakan pusat dan diterapkan ke seluruh sistem; jangan pernah dikonfigurasi secara langsung pada perangkat individu.
Pemeriksaan drift
Deteksi penyimpangan membandingkan kebijakan yang direncanakan dengan kebijakan yang sebenarnya diterapkan.
- Pemeriksaan versi: Setiap titik penegakan melaporkan versi kebijakan yang aktif; berikan peringatan jika terjadi ketidaksesuaian.
- Perbandingan konfigurasi: Secara berkala mengekspor konfigurasi yang telah diterapkan dan membandingkannya dengan baseline yang telah disetujui.
- Pengujian perilaku: Jalankan pengujian URL dan aplikasi di gateway lokal, lalu jalankan pengujian perlindungan data terhadap jalur berbasis cloud yang diteruskan oleh gateway tersebut, kemudian bandingkan hasilnya dengan kebijakan yang Anda buat.
- Audit pengecualian: Bandingkan pengecualian pada tingkat perangkat dengan register pusat.
Jadwalkan pemeriksaan penyimpangan setidaknya sekali seminggu dan setelah setiap periode perubahan.
Kembali ke versi sebelumnya
Pengembalian ke versi sebelumnya (rollback) seharusnya mengembalikan versi kebijakan sebelumnya ke setiap titik penerapan dalam satu operasi.
- Siapkan versi kebijakan sebelumnya agar dapat diterapkan kembali ke semua titik penegakan.
- Tentukan siapa yang berwenang untuk melakukan rollback dan dalam kondisi apa saja.
- Pastikan bahwa proses rollback menjangkau titik-titik penegakan di cloud dan di lokasi lokal dalam operasi yang sama.
- Catat pembatalan perubahan beserta alasannya, lalu tindak lanjuti dengan melakukan peninjauan.
Model sinkronisasi
Terdapat empat model sinkronisasi, dan risiko penyimpangan akan berkurang seiring dengan semakin terpadu-nya pengelolaan kebijakan.
| Model | Cara kerjanya | Risiko penyimpangan |
|---|---|---|
| Pengelolaan terpisah | Setiap lingkungan memiliki konsol dan aturannya masing-masing | Tinggi |
| Sinkronisasi berdasarkan skrip | Aturan ekspor dan impor alat antar platform | Sedang; ketidaksesuaian terjemahan dan gangguan sinkronisasi |
| Daftar bersama | Aturan yang terpisah, namun daftar izinkan dan blokir yang sama disinkronkan | Sedang |
| Mesin kebijakan tunggal | Satu kebijakan diterapkan di setiap titik penegakan hukum | Rendah |
Mesin kebijakan tunggal tetap memerlukan pemeriksaan penyimpangan, karena perangkat mungkin gagal melakukan pembaruan, namun mesin tersebut menghilangkan kebutuhan akan penerjemahan antar bahasa aturan.
Daftar periksa pengelolaan kebijakan keamanan terpusat
Gunakan daftar periksa ini untuk memastikan bahwa pengelolaan kebijakan hibrida sudah terkendali.
- Setiap bidang kebijakan memiliki penanggung jawab dan pemberi persetujuan
- Semua perubahan kebijakan diberi nomor versi beserta referensi tiket
- Perubahan diluncurkan secara bertahap disertai pemantauan
- Satu register pengecualian mencakup semua lingkungan
- Titik penegakan melaporkan versi kebijakan yang aktif
- Pemeriksaan drift dilakukan sesuai jadwal dan setelah adanya perubahan
- Proses rollback telah didokumentasikan dan diuji
- Pengujian sintetis membuktikan bahwa satu kebijakan yang dibuat menghasilkan hasil yang diharapkan untuk setiap sesi, pada titik penerapan yang menanganinya
Bagaimana Skyhigh mendukung penerapan kebijakan hybrid yang konsisten
Skyhigh menjaga konsistensi kebijakan hibrida dengan menerapkan satu set kebijakan, dalam bentuk kode, ke setiap titik penerapan.
Skyhigh menggunakan arsitektur "policy-as-code" yang menerapkan kebijakan secara otomatis ke seluruh perangkat fisik, sistem virtual, dan node cloud, tanpa perlu rekonsiliasi manual antarlingkungan (Skyhigh Security). SWG hibridnya mendukung migrasi kebijakan dari lingkungan lokal ke cloud hanya dengan satu klik serta sinkronisasi kebijakan terpadu secara real-time, dan fitur pelacakan aturan menunjukkan kebijakan mana yang memengaruhi lalu lintas pengguna tertentu (Skyhigh Security). Pembaruan platform pada Maret 2026 menambahkan manajemen kebijakan terpadu yang tidak bergantung pada lokasi serta kerangka kerja kebijakan yang dapat diprogram dan diperluas. Melalui Skyhigh Hybrid SSE Mesh, kebijakan dibuat sekali di konsol cloud dan berlaku untuk setiap sesi. Kontrol Akses Berbasis Peran ( Secure Web Gateway), Akses Zero Trust, dan Kontrol Peramban Aman diterapkan secara native pada Secure Service Gateway di lokasi, sementara kontrol keamanan DLP, CASB, DSPM, RBI, dan AI diterapkan melalui cloud Skyhigh.
Sumber
- NSA dan CISA. Sepuluh Strategi Utama Mitigasi Keamanan Awan (7 Maret 2024). https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3699169/nsa-releases-top-ten-cloud-security-mitigation-strategies/
- NIST. SP 800-53 Rev. 5: Pengendalian Keamanan dan Privasi untuk Sistem Informasi dan Organisasi. https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final
- NIST. SP 800-128: Panduan Pengelolaan Konfigurasi Sistem Informasi yang Berfokus pada Keamanan. https://csrc.nist.gov/pubs/sp/800/128/upd1/final
- Skyhigh Security. “Memodernisasi Symantec Edge Secure Web Gateway Anda dengan Skyhigh Hybrid SSE Mesh” (15 Juli 2026). https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
- Skyhigh Security. “Menerapkan Model Hybrid Kini Semakin Mudah Berkat Platform Skyhigh SSE” (3 Oktober 2024). https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html
- Skyhigh Security. “Skyhigh Security Mengumumkan Solusi Baru untuk Memperkuat Platform SSE Universal yang Inovatif” (24 Maret 2026). https://www.skyhighsecurity.com/about/newsroom/newswire/skyhigh-security-announces-new-solutions-to-strengthen-disruptive-universal-sse-platform.html