SailPoint: Lindungi Agen AI dan Identitas Non-Manusia
Fukushimask.com – SailPoint, penyedia platform pengelolaan identitas digital, menegaskan bahwa keamanan identitas tidak lagi cukup melindungi pekerja manusia semata. Di tengah percepatan adopsi kecerdasan buatan (AI), perusahaan kini menghadapi ancaman dari agen AI, mesin, aplikasi, API, token, dan berbagai identitas non-manusia lainnya. Pernyataan ini disampaikan oleh Chern-Yueboey, Senior Vice President sekaligus General Manager wilayah Asia Pacific SailPoint, dalam acara di Jakarta. Menurut Boey, identitas non-manusia mampu bekerja untuk manusia, mengambil keputusan, hingga menjalankan tindakan dengan kecepatan mesin.
Mengapa Keamanan Identitas Harus Melampaui Batas Manusia
"Perusahaan tidak lagi hanya berbicara tentang transformasi digital; mereka sedang mengubah perusahaan mereka dari perusahaan otomatis menjadi perusahaan otonomis," ujar Boey. Dalam konteks organisasi otonom, SailPoint menekankan tiga kebutuhan utama: visibilitas penuh terhadap seluruh digital workforce, kemampuan mengontrol permintaan dan tindakan setiap identitas, serta mekanisme auto-remediation ketika terjadi perilaku yang menyimpang. "Titik kontrol dasarnya adalah identitas," tegasnya.
Pendekatan keamanan yang bersifat statis dan berbasis peran tetap dinilai tidak lagi memadai. SailPoint mendorong peralihan menuju Adaptive Identity Security, di mana akses diberikan secara dinamis. Konsep Zero Standing Privilege dan Just-in-Time Privilege memastikan agen AI memperoleh hak akses hanya pada saat diperlukan untuk menyelesaikan tugas tertentu, lalu akses tersebut dicabut secara otomatis setelah tugas selesai.
"Keamanan identitas tidak cukup hanya melihat akses terhadap aplikasi, tetapi perlu mencakup hingga tingkat data, termasuk rantai hubungan dari manusia, pekerja digital, agen, aplikasi, hingga data." — Chern-Yue Boey, SailPoint
Tiga Pilar Pengelolaan Ekosistem Identitas SailPoint
SailPoint mengorganisasikan pengelolaan identitas ke dalam tiga pilar: discovery, governance, serta protect and remediate. Pada tahap discovery, perusahaan wajib memetakan seluruh identitas manusia dan non-manusia yang beroperasi dalam ekosistem digitalnya. Setiap identitas kemudian dicatat dalam registri terpusat dan ditautkan pada immutable human ownership, yaitu kepemilikan manusia yang jelas dan tidak dapat diubah secara sepihak.
Pilar governance memastikan setiap identitas dapat dikelola, diaudit, dan dilacak sepanjang siklus hidupnya, termasuk ketika agen AI meneruskan pekerjaan kepada agen lain, aplikasi, atau sumber data. Pilar protect and remediate mencakup deteksi tindakan anomali, penghentian aktivitas secara otomatis, serta eskalasi kepada manusia untuk menentukan langkah lanjutan. Boey juga menyoroti risiko shadow AI, yaitu penggunaan teknologi AI oleh karyawan tanpa izin atau pengetahuan manajemen.
Salah satu skenario risiko yang paling umum adalah karyawan memasukkan informasi rahasia perusahaan ke layanan AI publik tanpa pengawasan. Selain itu, token dan kunci API yang digunakan agen AI untuk mengakses aplikasi serta data menjadi permukaan serangan yang luas. Untuk mengantisipasi risiko tersebut tanpa menghambat inovasi, SailPoint merekomendasikan penerapan shift-left security, yakni mengintegrasikan aspek keamanan sejak tahap pengembangan aplikasi dan agen AI.
"Menjaga dan mengendalikan identitas manusia saja sudah tidak cukup. Mengamankan identitas non-manusia seperti agen AI dan mesin kini menjadi sama pentingnya," kata Boey. Ia menegaskan bahwa agen AI tidak memiliki moral maupun intuisi etis; mereka hanya menjalankan perintah untuk menyelesaikan tugas. Karena itu, setiap identitas digital harus diketahui, memiliki pemilik yang jelas, dan dikendalikan sepanjang siklus aktivitasnya. "Prinsip utamanya sederhana: Anda hanya bisa mengontrol apa yang Anda ketahui," tutupnya.
FAQ: Keamanan Identitas untuk Era Agen AI
Apa itu Adaptive Identity Security menurut SailPoint? Adaptive Identity Security adalah pendekatan keamanan yang memberikan akses secara dinamis dan kontekstual, bukan permanen. Akses diberikan hanya saat diperlukan (Just-in-Time Privilege) dan dicabut setelah tugas selesai (Zero Standing Privilege), sehingga permukaan serangan diperkecil secara signifikan.
Bagaimana perusahaan mendeteksi shadow AI? Perusahaan perlu menjalankan tahap discovery secara berkala untuk memetakan seluruh identitas non-manusia, termasuk agen AI yang mungkin dibuat tanpa izin. Registri identitas terpusat dan immutable human ownership membantu memastikan setiap agen memiliki pemilik yang dapat dimintai pertanggungjawaban.
Apakah shift-left security berarti memperlambat pengembangan? Tidak. Shift-left security berarti mengintegrasikan kontrol keamanan sejak fase desain dan pengembangan, sehingga masalah identitas dan akses ditangani sebelum agen AI atau aplikasi masuk ke lingkungan produksi. SailPoint menekankan bahwa pendekatan ini justru mempercepat peluncuran karena mengurangi risiko insiden pasca-deployment.
