Selamat datang di peluncuran Lanskap Keamanan Identitas 2025—dan pada fase “ini rumit” dari hubungan kita dengan AI. Setiap tahun, CyberArk melakukan survei kepada para pemimpin keamanan di seluruh dunia untuk memahami kekhawatiran utama mereka terkait keamanan identitas. Tahun ini, AI menghadirkan trifecta: senjata serangan, alat pertahanan, dan pengganda risiko.
Penyerang menggunakan AI untuk mengirim email phishing dan deepfake yang didorong oleh AI yang dapat menipu bahkan pengguna yang paling cerdas sekalipun. Di sisi lain, organisasi yang mengadopsi AI dan model bahasa besar (LLM) kini harus menyeimbangkan antara manfaat inovasi dan permukaan serangan yang semakin kompleks dan terekspos. Ketergantungan AI pada data yang luas tidak hanya meningkatkan risiko akses tidak sah tetapi juga membuat model AI rentan terhadap manipulasi.
Namun AI hanyalah satu bagian dari teka-teki yang jauh lebih besar. Penyebaran hak istimewa (privilege sprawl) sedang meledak: selama 12 bulan ke depan, 59% responden memprediksi bahwa identitas mesin (dari beban kerja cloud hingga kredensial aplikasi dan layanan otomatis) akan menjadi pendorong utama di balik pertumbuhan identitas—mengungguli bahkan AI dan LLM. Pada saat yang sama, tim keamanan yang kewalahan melaporkan berkurangnya visibilitas di seluruh lingkungan cloud mereka.
Respons geopolitik terhadap lanskap ancaman identitas yang sedang muncul ini paling baik digambarkan sebagai “Jekyll dan Hyde.” Amerika Serikat memberi sinyal pendekatan yang lebih santai terhadap pengawasan AI sementara aktor siber yang disponsori negara berperilaku semakin mirip sindikat kejahatan terorganisir. Salah satu contoh mencolok dari ancaman yang berkembang ini adalah infiltrasi baru-baru ini terhadap Departemen Keuangan AS oleh penyerang yang disponsori negara China, yang dianggap sebagai insiden keamanan siber besar. Pada saat yang sama, Uni Eropa menetapkan standar ketat untuk dokumentasi dan pemantauan model AI, dengan denda besar untuk ketidakpatuhan. Australia mengesahkan undang-undang keamanan siber khusus AI pertamanya, memperketat kontrol identitas dan mengkodifikasi bagaimana sistem AI diamankan dan diatur.
Jika tatapan kosongmu belum terkunci, beri waktu. Pergeseran sistemik yang luas ini akan membutuhkan perencanaan yang cermat. Untuk membantu kamu menavigasi perubahan ini, mari kita uraikan risiko keamanan identitas utama yang perlu kamu ketahui.
AI: Pembela, Penyerang, dan Karyawan Baru yang Berisiko
Efisiensi yang didorong AI adalah pengubah permainan: 94% responden menggunakan AI untuk meningkatkan strategi keamanan identitas mereka, dan 72% karyawan secara rutin menggunakan alat AI di tempat kerja. Namun, saat organisasi memperluas penggunaan AI secara internal, mereka juga meningkatkan risiko. Model-model itu sendiri memerlukan volume data yang besar, menghasilkan identitas mesin baru, dan memperkenalkan berbagai tantangan yang sebagian besar kontrol warisan tidak dirancang untuk mengatasinya.
AI dan LLM diperkirakan akan menjadi pencipta utama identitas baru dengan akses istimewa dan sensitif pada tahun 2025. Bahkan, meskipun organisasi menyebut AI sebagai pencipta utama identitas baru dengan akses istimewa pada 2025, 68% responden tidak memiliki kontrol keamanan identitas yang diperlukan untuk mengelola teknologi ini dengan aman.
Kemudian ada masalah “Shadow AI”: alat AI yang tidak disetujui, tidak diketahui, yang entah berapa banyak karyawan yang menggunakannya (dan mungkin memberinya data sensitif perusahaan). Hampir separuh (47%) responden mengatakan mereka tidak dapat melacak masalah yang berkembang ini secara penuh.
Penyerang tidak hanya menggunakan AI sebagai senjata untuk mengotomatisasi phishing, melewati kontrol, dan meniru pengguna dengan akurasi yang meningkat—mereka juga menemukan cara baru untuk merusak model AI menjadi “jailbreaking,” atau secara diam-diam mengekstrak dan mengirimkan informasi pribadi pengguna dan detail pembayaran.
CyberArk Labs telah bekerja tanpa henti untuk tetap selangkah lebih maju dari serangan yang muncul ini. Pada Desember 2024, mereka meluncurkan FuzzyAI, alat revolusioner yang telah berhasil melakukan jailbreak pada setiap model AI yang diuji. Proyek sumber terbuka ini, yang sekarang tersedia di GitHub, dapat membantu organisasi dan peneliti secara sistematis mengidentifikasi dan memperbaiki celah keamanan AI sebelum penyerang memanfaatkannya.
Dilema Agen AI
Bayangkan jika entitas cerdas dan otonom dapat meringankan 15% pekerjaan harian Anda. Itulah tingkat pengambilan keputusan yang diharapkan para ahli dari agen AI pada tahun 2028. Berbeda dengan identitas mesin statis, agen AI dapat memahami, bernalar, dan bertindak berdasarkan tujuan yang telah ditentukan. Meskipun ini menghadirkan peluang besar bagi organisasi, laporan kami menemukan bahwa kekhawatiran serius tentang akses sensitif dan manipulasi tetap menjadi hambatan terbesar dalam adopsi agen AI.
Pada lapisan model, agen AI dapat “ditipu” untuk menjalankan perintah, membocorkan data, atau memberikan akses tanpa pengawasan manusia. Sebagian besar sistem manajemen identitas dan akses (IAM) tidak dibangun untuk mengelola otentikasi, akses istimewa, dan kontrol siklus hidup untuk ribuan (atau jutaan) entitas yang beroperasi sendiri ini.
Untuk mempersiapkan, organisasi membutuhkan kontrol akses istimewa yang kuat, tata kelola berkelanjutan, dan kerangka kerja yang jelas yang menyelaraskan perilaku AI dengan kebijakan keamanan untuk memastikan “skala” tidak menjadi “penyebaran yang tidak terkendali.”
Untuk Mengamankan Agen AI, Kita Harus Mengamankan Identitas
AI kini menjadi bagian inti dari bisnis modern, tetapi adopsi yang aman bergantung pada tim keamanan yang mengambil pendekatan proaktif dengan tiga tingkat:
- Pengembangan yang aman: Pastikan data pelatihan bersih dan praktik pengkodean yang kuat.
- Penyebaran yang aman: Lindungi sistem AI dalam produksi dengan kontrol identitas yang kuat.
- Penggunaan yang aman: Integrasikan AI ke dalam strategi keamanan identitas sejak awal, bukan sebagai tambahan.
Mesin yang berperilaku seperti manusia membutuhkan kontrol keamanan identitas manusia dan mesin. Tanpa perlindungan berlapis ganda ini, kita berisiko mengulangi kekacauan identitas dari implementasi awal otomasi proses robotik (RPA), di mana pemalsuan identitas, akses berlebihan, dan kurangnya tata kelola membuka pintu lebar bagi eksploitasi penyerang.
Lonjakan Identitas Mesin yang Tak Terkontrol
Seiring meningkatnya adopsi AI, jumlah identitas mesin yang diam-diam menjalankan operasi juga meningkat. Identitas ini mengautentikasi beban kerja, mengotomatisasi tugas, dan mendukung ekosistem modern—namun seringkali tetap tidak terlihat oleh alat keamanan tradisional. Dan sekarang, jumlahnya sangat banyak.
Menegaskan kenyataan ini, laporan kami menemukan bahwa identitas mesin jumlahnya lebih banyak daripada identitas manusia dengan rasio lebih dari 80:1, hampir dua kali lipat rasio yang terlihat tiga tahun lalu. Rasio ini naik menjadi 96:1 di sektor keuangan dan 100:1 di Inggris.
Dan mereka bukan hanya banyak—mereka juga memiliki hak istimewa. Identitas mesin muncul sebagai risiko identitas paling utama tahun ini dalam hal identitas yang paling tidak dikelola dan tidak diketahui di seluruh lingkungan TI.
Namun meskipun jumlahnya besar, 88% responden masih mendefinisikan “pengguna dengan hak istimewa” hanya sebagai manusia. Itu adalah pengabaian yang berbahaya, terutama ketika 42% identitas mesin memiliki akses sensitif (berbeda dengan hanya 37% manusia). Identitas mesin yang tidak terlacak dan tidak dikelola ini mewakili bagian yang berkembang dari permukaan serangan modern.
Organisasi Membutuhkan Strategi Keamanan Identitas Terpadu untuk Setiap Identitas
Perusahaan perlu berkembang melampaui model keamanan yang hanya fokus pada pengguna manusia dan mendefinisikan ulang “pengguna dengan hak istimewa” untuk memasukkan identitas mesin. Perlindungan penting lainnya meliputi:
- Memantau sesi pengguna dan admin
- Melindungi rahasia di lingkungan cloud
- Mengotomatisasi siklus hidup sertifikat dan menerapkan kontrol akses berbasis peran, just-in-time (JIT)
Silo Identitas: Retakan dalam Fondasi Keamanan Anda
Seiring banyak organisasi berkembang, bergabung, atau memodernisasi, kontrol identitas seringkali dirakit secara terpisah—dipasang pada sistem yang sudah ada. Tim yang berbeda memilih alat yang berbeda, seringkali dengan tugas memecahkan masalah yang sama dengan cara yang sedikit tidak kompatibel. Hasilnya sering berupa kumpulan teknologi yang tumpang tindih dan kebijakan yang tidak konsisten.
Meskipun 94% responden mengatakan mereka telah menerapkan alat yang secara otomatis melindungi dan memantau sesi cloud, hampir separuh (49%) masih tidak dapat melacak dengan yakin siapa yang memiliki akses ke apa. Maka tidak mengherankan, 70% pemimpin keamanan sekarang menunjuk silo identitas sebagai sumber risiko organisasi yang utama.
Integrasi tetap menjadi masalah besar, dengan 68% responden mengatakan ketidakhubungan antara sistem identitas dan keamanan memperlambat deteksi ancaman. Konsekuensinya bukan hanya operasional. Silo memperumit kepatuhan dan meningkatkan premi asuransi siber: 88% melaporkan permintaan yang meningkat terkait kontrol hak istimewa, dan 89% mengatakan perusahaan asuransi kini lebih agresif menerapkan prinsip least privilege.
Infrastruktur IT yang kuat adalah kunci produktivitas perusahaan. Dengan cyberark Indonesia, Anda bisa mendapatkan solusi IT lengkap yang sesuai dengan kebutuhan Anda. iLogo Indonesia sebagai mitra terpercaya siap mengintegrasikan semuanya agar bisnis Anda tetap berjalan lancar dan aman.
Hubungi kami sekarang atau kunjungi cyberark.ilogoindonesia.id untuk informasi lebih lanjut!