Dua perubahan struktural telah membuat model lama tidak dapat dipertahankan. Yang pertama bersifat arsitektural. Beban kerja berpindah ke public cloud, staf beralih ke laptop di rumah mereka, dan aplikasi menjadi rangkaian API dan layanan yang dimiliki oleh perusahaan lain. Organisasi kini merupakan jalinan hubungan alih-alih sebuah lanskap bertembok, dan sebuah kontrol yang mengasumsikan adanya bagian dalam dan bagian luar menggambarkan sebuah topologi yang sudah tidak ada lagi. Perubahan kedua bersifat ekonomi. Kejahatan siber telah terindustrialisasi. Ransomware dijual sebagai layanan, akses awal diperantarai sebagai komoditas, dan pemerasan telah bergeser dari sekadar enkripsi menjadi pencurian dan ancaman publikasi data. Musuh bukan lagi seorang oportunis tunggal melainkan sebuah rantai pasok dengan perangkat, afiliasi, dan dukungan pelanggannya sendiri.

Regulasi bergerak sejalan. Kerangka kerja seperti NIS2 dan DORA menempatkan kewajiban yang eksplisit dan dapat ditegakkan pada organisasi Eropa untuk mengelola risiko, mengamankan rantai pasok mereka, dan melaporkan insiden dalam tenggat waktu yang ketat. Dewan direksi yang dahulu memperlakukan keamanan sebagai pusat biaya teknis kini memikul akuntabilitas pribadi dan korporat atasnya. Konsekuensinya adalah keamanan telah menjadi pertanyaan tata kelola sekaligus pertanyaan desain pada saat yang bersamaan. Hal ini menjadi penting sekarang bukan karena ancamannya baru dari segi jenisnya, melainkan karena permukaan serangannya telah meluas, para penyerang telah menjadi profesional, dan toleransi hukum terhadap kelalaian telah runtuh. Sebuah organisasi yang masih menyamakan keamanan dengan sebuah perangkat perimeter sedang mempertahankan suatu bentuk yang sudah tidak lagi sesuai dengan dirinya sendiri.

Prinsip pertama adalah bahwa keamanan bukanlah sesuatu yang Anda miliki melainkan seperangkat properti yang ditunjukkan sebuah sistem dalam kondisi yang berlawanan. Triad klasik tetap menjadi tulang punggung yang berguna: kerahasiaan, bahwa informasi hanya diungkapkan kepada mereka yang berhak; integritas, bahwa data dan sistem tidak diubah tanpa otorisasi; dan ketersediaan, bahwa layanan tetap dapat digunakan ketika dibutuhkan. Desain nyata harus mempertimbangkan ketiganya secara bersamaan, karena kontrol yang melindungi salah satunya dapat menurunkan yang lain. Enkripsi yang agresif melindungi kerahasiaan tetapi dapat mengaburkan telemetri yang Anda butuhkan untuk mendeteksi sebuah penyusupan. Mengunci ketersediaan terlalu ketat dapat mendorong pengguna ke arah solusi darurat yang tidak aman.

Prinsip kedua adalah bahwa risiko, bukan ancaman, merupakan unit pengambilan keputusan. Ancaman adalah apa pun yang bisa salah. Risiko adalah hasil dari seberapa besar kemungkinan hal itu terjadi dan seberapa besar dampaknya, ditimbang terhadap biaya untuk menguranginya. Inilah sebabnya kontrol yang proporsional itu penting: sebuah organisasi tidak dapat melindungi segala sesuatu pada tingkat yang sama, dan upaya untuk melakukannya memboroskan anggaran pada paparan yang sepele sembari menelantarkan paparan yang dapat mengakhiri bisnis. Disiplin yang menghubungkan keduanya adalah pemodelan ancaman. Jika dilakukan dengan baik, ini merupakan interogasi terstruktur atas sebuah desain: apa yang sedang kita bangun, apa yang bisa salah dengannya, apa yang akan kita lakukan tentangnya, dan apakah kita telah melakukan pekerjaan yang cukup baik. Metode seperti STRIDE dan pohon serangan memberikan ketelitian ini, memaksa tim untuk menamai batas kepercayaan, aliran data, dan asumsi-asumsi yang, jika keliru, akan membiarkan penyerang masuk. Pemodelan ancaman yang dilakukan di papan tulis jauh lebih murah, dalam kelipatan yang besar, dibandingkan menemukan cacat yang sama di produksi melalui sebuah insiden.

Beberapa perkembangan sedang membentuk ulang praktik sekaligus. Yang paling berpengaruh adalah bahwa identitas telah menjadi bidang kontrol utama. Ketika batas jaringan larut, pertanyaan apakah harus mempercayai sebuah permintaan tidak lagi dapat dijawab berdasarkan dari mana asalnya dan hanya dapat dijawab berdasarkan siapa dan apa yang membuatnya. Hal ini telah mendorong identitas, autentikasi, dan otorisasi ke pusat setiap arsitektur yang serius, dan telah menjadikan pencurian kredensial serta pembajakan sesi sebagai jalur serangan yang dominan. Sebagai tanggapan, bidang ini bergerak menjauh dari kata sandi dan bahkan dari kode sekali pakai menuju autentikasi kriptografis yang tahan terhadap phishing berbasis FIDO2 dan passkey, karena para penyerang telah mengindustrialisasi penyadapan atas segala sesuatu yang lebih lemah.

Zero trust telah matang dari sebuah slogan menjadi sebuah arsitektur dengan titik penegakan yang konkret, meskipun istilah itu masih rutin disalahgunakan oleh para vendor. Bersamaan dengannya, deteksi telah bergeser dari antivirus berbasis tanda tangan menuju endpoint berbasis perilaku dan extended detection and response, yang mengasumsikan bahwa pencegahan terkadang akan gagal dan berfokus pada melihat penyerang begitu mereka berada di dalam. Kesalahan konfigurasi cloud telah menjadi salah satu penyebab paling umum dari pelanggaran besar, karena fleksibilitas yang membuat cloud menjadi kuat juga membuat satu pengaturan yang salah menjadi bencana. Kompromi rantai pasok, di mana penyerang menumbangkan vendor atau dependensi perangkat lunak yang tepercaya untuk menjangkau banyak korban sekaligus, telah bergerak dari teori menjadi pola yang berulang. Kecerdasan buatan kini berada di kedua sisi pertarungan, mempercepat penyusunan phishing yang meyakinkan dan penyortiran kerentanan bagi para penyerang, sekaligus membantu para pembela mengkorelasikan sinyal pada skala yang tidak dapat ditandingi manusia. Tidak satu pun dari ini menggantikan prinsip dasar; hal ini menaikkan tempo penerapannya.

Arsitektur keamanan yang baik bertumpu pada sejumlah kecil prinsip yang saling memperkuat. Pertahanan berlapis adalah yang tertua dan masih yang terpenting: tidak ada satu kontrol pun yang boleh menjadi penopang tunggal, sehingga kegagalan salah satu lapisan tidak mengekspos apa yang penting. Lapisan segmentasi jaringan, identitas, pengerasan, pemantauan, dan perlindungan data disusun sedemikian rupa sehingga penyerang yang mengalahkan satu lapisan masih menghadapi lapisan berikutnya. Ini bukan redundansi demi redundansi itu sendiri; ini membeli waktu bagi pembela dan menciptakan gesekan serta kebisingan yang menjadi tumpuan deteksi.

Zero trust adalah artikulasi modern dari naluri yang sama yang diterapkan pada dunia tanpa perimeter. Aturannya sederhana untuk dinyatakan dan menuntut untuk diterapkan. Jangan pernah percaya secara implisit dan selalu verifikasi secara eksplisit, mengevaluasi identitas, postur perangkat, dan konteks pada setiap permintaan alih-alih sekali saja di gerbang. Berikan hak istimewa paling sedikit, sehingga setiap identitas, manusia atau mesin, hanya memegang akses yang dibutuhkannya, hanya selama dibutuhkan, idealnya disediakan tepat pada waktunya alih-alih tetap ada secara permanen. Lakukan segmentasi secara agresif, sehingga pijakan di satu beban kerja tidak menjadi pergerakan bebas di seluruh lanskap IT. Dan asumsikan telah terjadi pelanggaran: rancang seolah-olah penyerang sudah berada di dalam, yang membingkai ulang tujuan dari menjaga semua orang tetap di luar menjadi membatasi apa yang dapat dijangkau oleh satu kompromi dan berapa lama ia dapat bersembunyi. Asumsi telah terjadi pelanggaran adalah yang mengarahkan arsitektur menuju penahanan, pengurangan radius ledakan, dan telemetri yang kaya, karena sebuah desain yang hanya mencoba mencegah penyusupan tidak memiliki jawaban untuk hari ketika pencegahan gagal. Enkripsi data saat transit dan saat diam, manajemen kunci yang kuat, serta pencatatan yang komprehensif dan tahan gangguan adalah jaringan penghubung yang membuat prinsip-prinsip ini dapat diamati dan ditegakkan alih-alih hanya menjadi aspirasi.

Sebagian besar pelanggaran bukanlah hasil dari teknik yang eksotis. Pelanggaran itu mengeksploitasi kelemahan yang dapat diprediksi dalam cara sistem dirancang dan dioperasikan, dan mode kegagalan yang sama berulang di seluruh organisasi dari segala ukuran.

Jaringan datar. Ketika segala sesuatu dapat menjangkau segala sesuatu, satu perangkat yang terkompromi menjadi kompromi atas seluruh lanskap. Ketiadaan segmentasi adalah perbedaan antara sebuah insiden dan sebuah bencana, karena hal itu menyerahkan pergerakan lateral kepada penyerang secara cuma-cuma. Kepercayaan implisit dan hak istimewa yang menetap. Akun, identitas layanan, dan integrasi menumpuk izin yang tidak pernah dicabut, dan hak administratif duduk tidak aktif menunggu untuk dicuri. Hak istimewa yang ada secara permanen pada akhirnya akan disalahgunakan. Kelelahan peringatan dan telemetri yang tidak dipantau. Organisasi berinvestasi dalam alat yang menghasilkan sinyal yang tidak dibaca siapa pun, sehingga bukti sebuah penyusupan berada dalam sebuah log yang tidak pernah diperiksa sampai investigasi forensik setelah kejadian. Deteksi yang tidak ditindaklanjuti bukanlah deteksi. Kepatuhan yang dikira keamanan. Lolos sebuah audit menyatakan bahwa seperangkat kontrol ada pada hari penilaian, bukan bahwa sistem tahan terhadap penyerang yang gigih. Memperlakukan sebuah sertifikat sebagai bukti keselamatan adalah salah satu bentuk teater keamanan yang paling berbahaya. Asumsi yang tidak teruji. Desain penuh dengan keyakinan tentang apa yang tidak dapat dilakukan seorang penyerang, dan keyakinan itu jarang diperiksa sampai ada yang memeriksanya secara berlawanan. Sebuah kontrol yang belum pernah diserang belum pernah divalidasi. Perluasan identitas yang tak terkendali. Akun yatim, kredensial bersama, dan prinsipal layanan yang terlupakan membentuk permukaan serangan bayangan yang tidak ditunjukkan oleh diagram mana pun dan tidak dimiliki oleh siapa pun.

Nashua memperlakukan keamanan sebagai disiplin rekayasa dan tata kelola alih-alih sebagai latihan pengadaan. Penugasan dimulai dengan menetapkan apa yang benar-benar penting: aset, aliran data, dan proses yang kehilangan atau kerusakannya akan benar-benar merugikan organisasi, serta ancaman spesifik yang secara masuk akal berkaitan dengannya. Dari fondasi itu kami melakukan pemodelan ancaman yang terstruktur, memetakan batas kepercayaan dan jalur serangan sehingga investasi dapat diarahkan oleh bukti alih-alih oleh promosi produk yang paling lantang. Keluarannya adalah sebuah peta jalan yang proporsional di mana setiap kontrol yang diusulkan terikat pada sebuah risiko yang bernama, sehingga pengeluaran dapat dipertanggungjawabkan kepada dewan direksi dan kepada regulator.

Peretasan etis berada di pusat cara kami memvalidasi pekerjaan itu. Penguji penetrasi kami mendekati sistem sebagaimana yang akan dilakukan seorang musuh yang cakap, bergerak melalui pengintaian, eksploitasi, dan pasca-eksploitasi untuk menunjukkan bukan sekadar bahwa sebuah kerentanan ada tetapi apa yang sebenarnya dapat dicapai seorang penyerang dengannya, termasuk pergerakan lateral dan eskalasi hak istimewa. Temuan disampaikan dengan langkah reproduksi yang jelas, dampak bisnis, dan remediasi yang diprioritaskan, dan kami menguji ulang untuk memastikan bahwa perbaikan bertahan alih-alih mengasumsikannya demikian. Di luar pengujian pada satu titik waktu, kami menjalankan latihan red team dan purple team di mana praktisi ofensif dan defensif bekerja bersama, sehingga kemampuan organisasi untuk mendeteksi dan merespons meningkat seiring dengan kemampuannya untuk mencegah. Kami membangun program identitas dan akses di sekitar hak istimewa paling sedikit dan autentikasi yang tahan terhadap phishing, merancang segmentasi dan penegakan zero trust ke dalam arsitektur, serta membangun kemampuan pemantauan dan respons yang dituntut oleh pemikiran asumsi telah terjadi pelanggaran. Maksudnya sepanjang proses adalah meninggalkan klien dengan postur keamanan yang terukur, teruji, dan dapat dipelihara, bukan sekadar rak berisi alat.

Yang membedakan Nashua adalah penolakan untuk memisahkan paruh ofensif dan defensif dari keamanan. Banyak pemasok akan menjual kontrol kepada sebuah organisasi, dan pemasok yang berbeda kemudian akan menyerang kontrol itu dan menghitung kelemahannya. Kami memegang kedua perspektif itu sekaligus, sehingga cara kami merancang sebuah sistem sudah diberi tahu oleh bagaimana kami akan merusaknya, dan cara kami mengujinya mengalir langsung kembali ke bagaimana ia dibangun ulang. Kesinambungan itu, dari pemodelan ancaman ke arsitektur ke peretasan etis ke remediasi dan pengujian ulang, adalah yang mengubah keamanan dari serangkaian proyek yang terputus-putus menjadi sebuah postur yang koheren dan terus membaik.

Ada juga konsekuensi praktis yang mengubah apa yang boleh diasumsikan oleh pekerjaan itu. Ketika sebuah penugasan menuntut sebuah kapabilitas yang belum ada, ia tidak perlu menunggu siklus pengadaan atau peta jalan sebuah vendor. enterprise platform dibangun untuk mengakomodasi hampir semua fitur dengan cepat, melalui agentic engineering: apa yang dibutuhkan dideskripsikan dalam bahasa yang lugas dan dihasilkan dengan cepat, tetapi selalu dalam prinsip arsitektur yang kokoh dan di bawah penjaminan mutu yang ketat, sehingga kecepatan tidak pernah mengorbankan koherensi, keamanan, atau kontrol. Efeknya bersifat strategis alih-alih sekadar praktis. Hal ini menggeser garis buat-atau-beli, menjaga opsionalitas tetap murah, dan membiarkan arsitektur mengikuti strategi alih-alih strategi yang menyesuaikan diri dengan apa pun yang kebetulan tersedia di rak.

Hasilnya adalah keamanan yang berperilaku sebagaimana yang dituntut oleh disiplin ini: sebanding dengan risiko nyata, berlapis sehingga tidak ada satu kegagalan pun yang fatal, dibangun atas asumsi bahwa pelanggaran adalah soal kapan alih-alih apakah, dan terus-menerus divalidasi oleh orang-orang yang pekerjaannya adalah berpikir seperti musuh. Itulah perbedaan antara organisasi yang memiliki sekumpulan produk keamanan dan organisasi yang secara kredibel dapat bertahan dari serangan yang gigih, pulih dari insiden yang tidak dapat dicegahnya, dan mempertanggungjawabkan keputusannya kepada dewan direksi, pelanggan, dan regulator yang kini tidak mengharapkan sesuatu yang kurang dari itu.