65% organisasi berencana mengganti VPN mereka dalam setahun, naik 23% dari edisi survei yang sama sebelumnya, dan 81% sedang mengadopsi atau berencana menerapkan strategi zero trust (Zscaler ThreatLabz 2025 VPN Risk Report). Dorongan ini datang dari para penyerang sama besarnya dengan dari para arsitek. DBIR 2025 dari Verizon menemukan bahwa perangkat edge dan VPN melonjak dari 3% menjadi 22% aktivitas eksploitasi kerentanan, dan M-Trends 2026 dari Mandiant menempatkan eksploit sebagai pintu masuk teratas ke sebuah jaringan selama enam tahun berturut-turut. Uang mengikuti arah itu: Dell’Oro Group mencatat pendapatan SASE sebesar US$3,5 miliar pada Q2 2026, kuartal kelima berturut-turut dengan pertumbuhan di atas 20%. Untuk sisi konsumen dari pasar ini, lihat statistik penggunaan VPN kami. Kami mengagregasi data dari Zscaler ThreatLabz dan Cybersecurity Insiders, Dell’Oro Group, Verizon, Google Mandiant, CISA, Gartner, Okta, Gallup, dan sumber primer lain yang tercantum dalam metodologi.
TL;DR
- 65% organisasi berencana mengganti layanan VPN dalam setahun, naik 23% dari survei sebelumnya (Zscaler ThreatLabz 2025 VPN Risk Report).
- 56% organisasi melaporkan pembobolan yang mengeksploitasi VPN dalam setahun terakhir (Zscaler ThreatLabz 2025 VPN Risk Report).
- CVE VPN tumbuh 82,5% antara 2020 dan 2025, dari 411 kerentanan yang dianalisis (Zscaler ThreatLabz, 2025).
- Perangkat edge dan VPN naik dari 3% menjadi 22% aktivitas eksploitasi kerentanan, hampir 8 kali lipat (Verizon DBIR 2025).
- 31% pembobolan kini dimulai dari kerentanan perangkat lunak, mengungguli kata sandi curian (Verizon DBIR 2026).
- Eksploit menjadi vektor infeksi awal teratas untuk tahun keenam berturut-turut, sebesar 32% (Mandiant M-Trends 2026).
- CISA memerintahkan lembaga federal untuk memutus semua perangkat VPN Ivanti paling lambat 2 Februari 2024 (CISA ED 24-01).
- Pendapatan SASE mencapai US$3,5 miliar pada Q2 2026, dengan pertumbuhan di atas 20% untuk kuartal kelima berturut-turut (Dell’Oro Group, September 2026).
- SASE diperkirakan mencapai US$24 miliar pada 2030 dengan CAGR 15% (Dell’Oro Group, Agustus 2026).
- Gartner memprediksi setidaknya 70% penerapan akses jarak jauh baru akan menggunakan ZTNA, bukan VPN, pada 2025, naik dari kurang dari 10% pada 2021 (Gartner, melalui Data Center Knowledge).
- Adopsi MFA dengan jaminan tinggi naik dari 41% menjadi 58% (Okta Businesses at Work 2026).
- 52% pekerja AS yang bisa bekerja jarak jauh bekerja secara hibrida dan 26% sepenuhnya jarak jauh (Gallup, Mei 2026).
1. Niat Mengganti VPN: Sebagian Besar Perusahaan Sudah Memutuskan, Lebih Sedikit yang Sudah Bergerak
Tahap pengambilan keputusan sudah lewat; pertanyaan yang tersisa adalah seberapa cepat perusahaan bisa mengeksekusinya. Dalam Zscaler ThreatLabz 2025 VPN Risk Report, yang disusun bersama Cybersecurity Insiders dari survei terhadap 632 profesional TI dan keamanan pada awal 2025, 65% organisasi menyatakan berencana mengganti layanan VPN mereka dalam tahun ini, lonjakan 23% dibandingkan laporan sebelumnya. Sebanyak 56% mengatakan risiko keamanan dan kepatuhan telah membuat VPN tradisional usang, dan 96% telah menerapkan, merencanakan, atau mendukung pendekatan zero trust.
Niat di sini sudah lama berlari mendahului kenyataan. Gartner memprediksi bahwa pada 2025 setidaknya 70% penerapan akses jarak jauh baru akan mengandalkan ZTNA, bukan VPN, naik dari kurang dari 10% pada akhir 2021, serta memperkirakan pertumbuhan belanja ZTNA sebesar 31% pada 2023 (Data Center Knowledge, Oktober 2022). Kata kuncinya adalah ‘baru’: konsentrator VPN yang sudah terpasang terus berjalan sampai kontrak, gangguan, atau pembobolan memaksa perubahan, itulah sebabnya hampir dua dari tiga perusahaan (65%) pada 2025 masih sebatas merencanakan penggantian.
| Metrik | Nilai | Sumber |
|---|---|---|
| Organisasi yang berencana mengganti VPN dalam setahun | 65% (naik 23% dari laporan sebelumnya) | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 VPN Risk Report |
| Mengadopsi atau berencana menerapkan zero trust dalam 12 bulan / mendukung zero trust secara keseluruhan | 81% / 96% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 |
| Menyatakan risiko keamanan dan kepatuhan membuat VPN usang | 56% | Zscaler ThreatLabz, 2025 VPN Risk Report |
| Penerapan akses jarak jauh baru yang menggunakan ZTNA, 2025 (prediksi) | Setidaknya 70%, dari kurang dari 10% pada 2021 | Gartner, melalui Data Center Knowledge, 2022 |
| Perkiraan pertumbuhan belanja ZTNA, 2023 | 31% | Gartner, melalui Data Center Knowledge, 2022 |
| Minat terhadap model zero trust (survei AFCOM) | 56% (2021) menjadi 79% (2022) | AFCOM, melalui Data Center Knowledge, 2022 |
| Organisasi Amerika Utara yang mengerjakan proyek zero trust | 60% (40% secara global), dari 16% pada 2019 | Okta State of Zero Trust Security, 2020 |
Catatan konteks: angka Gartner dan Okta adalah data terbaru yang tersedia (2020 hingga 2022) dan dimasukkan sebagai tolok ukur dasar. Laporan Zscaler dipesan oleh penyedia ZTNA, sehingga angka niat penggantiannya sebaiknya dibaca sebagai arah pergerakan, bukan sensus pasar. Statistik keamanan zero trust kami mencakup kerangka yang lebih luas di luar akses jarak jauh.
2. Posisi Perusahaan yang Sebenarnya: Tumpukan Warisan dan Tahap Peluncuran
Di balik berbagai judul berita, sebagian besar jaringan masih tampak seperti tahun 2015. 24% organisasi masih memberikan akses jaringan terbuka kepada setiap pengguna yang terautentikasi, dan 28% lainnya mengandalkan aturan firewall jaringan statis (Cybersecurity Insiders, Zscaler ThreatLabz 2025 VPN Risk Report). Itulah pola yang dirancang untuk dihapus oleh ZTNA: begitu sesi VPN aktif, jaringan datar membuat penyerang bebas berkeliaran. Tidak mengherankan, 71% responden menempatkan pergerakan lateral sebagai kekhawatiran utama, dan ringkasan survei dari Zscaler sendiri menyebut porsi yang mengkhawatirkan pergerakan lateral sebesar 89%.
Peluncuran zero trust nyata tetapi bertahap. Hanya 35% organisasi yang sudah menerapkan zero trust, 24% merencanakan peluncuran dalam enam bulan, dan 22% memiliki strategi untuk tahun berikutnya. Firewall tetap menjadi kontrol standar, digunakan oleh 84%. Identitas bergerak lebih cepat daripada jaringan: Businesses at Work 2026 dari Okta melaporkan adopsi MFA dengan jaminan tinggi naik dari 41% menjadi 58%, sementara ancaman tumbuh 6,3 kali lebih cepat daripada adopsi autentikasi dengan jaminan tinggi.
| Metrik | Nilai | Sumber |
|---|---|---|
| Model akses: akses terbuka bagi pengguna terautentikasi / aturan firewall statis | 24% / 28% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 |
| Status zero trust: sedang menerapkan / dalam 6 bulan / tahun depan | 35% / 24% / 22% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 |
| Alat pertahanan yang digunakan: firewall / WAF / NAC / VPN | 84% / 58% / 54% / 43% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 |
| Menempatkan pergerakan lateral sebagai kekhawatiran utama | 71% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 |
| Adopsi MFA dengan jaminan tinggi | 41% menjadi 58% | Okta Businesses at Work 2026 |
| Pertumbuhan ancaman dibandingkan adopsi autentikasi dengan jaminan tinggi | 6,3 kali lebih cepat | Okta Businesses at Work 2026 |
| Porsi yang menyebut jaringan sebagai faktor utama keputusan akses | 55% (2019) menjadi 20% (2020) | Okta State of Zero Trust Security, 2020 |
Catatan konteks: angka 43% ‘mengandalkan VPN’ berasal dari pertanyaan tentang alat pertahanan yang digunakan dan tidak berarti 57% responden tidak menjalankan VPN; survei ini menyasar organisasi pengguna VPN. Data faktor jaringan Okta 2020 berusia lebih dari tiga tahun (data terbaru yang tersedia).
3. Permukaan Serangan VPN: CVE Terus Meningkat
Alasan penggantian VPN berpindah dari peta jalan TI ke agenda dewan direksi adalah jumlah kerentanan. Zscaler ThreatLabz menganalisis 411 CVE VPN yang dipublikasikan antara 2020 dan 2025 dan menemukan CVE VPN tumbuh 82,5% selama periode tersebut, dengan sekitar 60% kerentanan 2024 dinilai tinggi atau kritis (blog Zscaler ThreatLabz, 2025). Eksekusi kode jarak jauh menjadi dampak yang paling umum, dengan 149 CVE selama lima tahun dan 32 pada 2024 saja.
Komposisinya lebih penting daripada jumlahnya. Gateway VPN menghadap internet secara desain, sehingga celah eksekusi kode jarak jauh padanya adalah pintu masuk tanpa autentikasi ke jaringan perusahaan, bukan bug lokal. CVE denial-of-service meningkat tiga kali lipat dari 9 pada 2020 menjadi 27 pada 2024, dan CVE eskalasi hak istimewa tumbuh 66,7%. Sementara itu, katalog Known Exploited Vulnerabilities milik CISA mencantumkan 1.733 entri saat kami memeriksanya pada Oktober 2026, dan blog ThreatLabz menunjuk salah satunya, celah kritis Ivanti CVE-2025-22457, sebagai bug VPN yang diketahui dieksploitasi dan diperintahkan untuk ditambal oleh lembaga. Konsekuensi di sisi pembobolan dilacak dalam statistik kebocoran data kami.
| Metrik | Nilai | Sumber |
|---|---|---|
| CVE VPN yang dianalisis, 2020 hingga 2025 | 411 | Zscaler ThreatLabz, 2025 VPN Risk Report |
| Pertumbuhan CVE VPN, 2020 hingga 2025 | +82,5% | Zscaler ThreatLabz, 2025 VPN Risk Report |
| CVE VPN 2024 yang dinilai tinggi atau kritis | Sekitar 60% (83 CVE); CVE tinggi/kritis +38,9% dibandingkan 2020 | Zscaler ThreatLabz, 2025 VPN Risk Report |
| CVE VPN eksekusi kode jarak jauh | Total 149, 32 pada 2024 | Zscaler ThreatLabz, 2025 VPN Risk Report |
| CVE VPN denial-of-service | 9 (2020) menjadi 27 (2024), +200% | Zscaler ThreatLabz, 2025 VPN Risk Report |
| CVE VPN eskalasi hak istimewa | +66,7% | Zscaler ThreatLabz, 2025 VPN Risk Report |
| Entri dalam katalog Known Exploited Vulnerabilities CISA | 1.733 (Oktober 2026) | Katalog KEV CISA |
Catatan konteks: baris-baris CVE ini berasal dari satu analisis ThreatLabz dan dihitung sebagai satu sumber. Zscaler menjual produk ZTNA yang menggantikan VPN, sehingga analisisnya tidak netral, meskipun jumlah CVE itu sendiri bersifat publik dan dapat diverifikasi.
4. Dari Kerentanan ke Pembobolan: Apa yang Ditunjukkan Data Insiden
Tren CVE bukan sekadar teori; ia muncul dalam penyelidikan pembobolan. Data Breach Investigations Report 2025 dari Verizon menemukan perangkat edge dan VPN naik dari 3% menjadi 22% aktivitas eksploitasi kerentanan, lonjakan hampir delapan kali lipat dalam setahun, dan hanya 54% kerentanan edge tersebut yang diperbaiki sepenuhnya, dengan median 32 hari (analisis Eclypsium atas Verizon DBIR 2025). Rilis 2025 Verizon juga mencatat eksploitasi kerentanan sebagai vektor awal naik 34%, sebesar 20% dari pembobolan dibandingkan 22% untuk penyalahgunaan kredensial, dari 12.195 pembobolan terkonfirmasi.
Pada edisi 2026, persilangan itu sudah lengkap: Verizon DBIR 2026 menyatakan 31% pembobolan kini dimulai dari kerentanan perangkat lunak, mengalahkan kata sandi curian sebagai titik masuk teratas. Data respons insiden Mandiant sejalan. M-Trends 2026 menempatkan eksploit sebagai vektor infeksi awal yang paling umum selama enam tahun berturut-turut sebesar 32%, dan melaporkan bahwa backdoor spionase BRICKSTORM, yang bersembunyi di perangkat jaringan, tidak terdeteksi hampir 400 hari rata-rata. Perangkat yang tidak memiliki agen endpoint adalah tempat para penyerang bersembunyi paling lama.
| Metrik | Nilai | Sumber |
|---|---|---|
| Porsi perangkat edge dan VPN dalam eksploitasi kerentanan | 3% menjadi 22% (hampir 8 kali lipat) | Verizon DBIR 2025, melalui Eclypsium |
| Kerentanan edge yang diperbaiki sepenuhnya / median waktu perbaikan | 54% / 32 hari | Verizon DBIR 2025, melalui Eclypsium |
| Vektor awal: penyalahgunaan kredensial vs eksploitasi kerentanan | 22% vs 20% (eksploitasi +34%) | Verizon DBIR 2025 |
| Pembobolan yang dimulai dari kerentanan perangkat lunak | 31% (titik masuk teratas) | Verizon DBIR 2026 |
| Pembobolan yang melibatkan pihak ketiga | 30% (berlipat ganda dari 15%) | Verizon DBIR 2025 |
| Eksploit sebagai vektor infeksi awal | 33% (investigasi 2024), 32% (2025) | Mandiant M-Trends 2025 dan 2026 |
| Median dwell time global | 11 hari (2024) menjadi 14 hari (2025) | Mandiant M-Trends 2025 dan 2026 |
| Dwell time backdoor BRICKSTORM pada perangkat jaringan | Hampir 400 hari | Mandiant M-Trends 2026 |
Catatan konteks: angka perangkat edge dan VPN dari Verizon dibaca melalui analisis Eclypsium karena DBIR lengkap hanya dapat diunduh dengan syarat tertentu; angka utama 2026 berasal dari halaman landas Verizon sendiri. Akses pihak ketiga penting di sini karena akun VPN sering diberikan kepada kontraktor, dan 93% responden Zscaler mengkhawatirkan backdoor melalui koneksi VPN pihak ketiga. Kelompok ransomware adalah penerima manfaat utama, seperti ditunjukkan statistik ransomware kami.
5. Respons Pemerintah: Emergency Directive yang Menyasar Gateway VPN
Regulator kini memperlakukan perangkat VPN sebagai risiko kelas darurat. Pada 19 Januari 2024, CISA menerbitkan Emergency Directive 24-01 untuk Ivanti Connect Secure dan Policy Secure, mencakup tiga CVE, dan arahan tambahan memerintahkan lembaga untuk memutus setiap instans Ivanti paling lambat 2 Februari 2024, mengatur ulang ke pengaturan pabrik, dan menganggap akun domain telah disusupi. Sebulan kemudian, nasihat bersama AA24-060B melaporkan bahwa penyerang dapat mengelabui Integrity Checker Tool milik Ivanti dan mempertahankan persistensi tingkat root meskipun perangkat sudah diatur ulang ke pengaturan pabrik.
Polanya berulang dengan vendor lain. Emergency Directive 25-03, yang diterbitkan pada 25 September 2025 dan diperbarui pada 23 April 2026, mewajibkan core dump forensik dalam sekitar satu hari untuk perangkat Cisco ASA yang dieksploitasi melalui CVE-2025-20333 dan CVE-2025-20362. Ketika perangkat perimeter bisa bertahan dari pengaturan ulang, satu-satunya perbaikan yang aman adalah mengurangi jumlah perangkat yang terekspos, yang menjadi logika kebijakan di balik Zero Trust Maturity Model CISA.
| Metrik | Nilai | Sumber |
|---|---|---|
| ED 24-01 diterbitkan (Ivanti Connect Secure / Policy Secure) | 19 Januari 2024; 3 CVE | CISA ED 24-01 |
| Tenggat mitigasi awal / jendela penambalan setelah perbaikan vendor | 22 Januari 2024 / 48 jam | CISA ED 24-01 |
| Tenggat memutus semua instans Ivanti | 2 Februari 2024 (kata sandi diatur ulang dua kali paling lambat 1 Maret 2024) | CISA ED 24-01, Arahan Tambahan V1 |
| Persistensi setelah reset pabrik terbukti | Ya, tingkat root | CISA AA24-060B, 29 Februari 2024 |
| ED 25-03 diterbitkan (Cisco ASA dan Firepower) | 25 September 2025; 2 CVE | CISA ED 25-03 |
| Tenggat inventaris ED 25-03 / tenggat hard reset Firepower | 2 Oktober 2025 / 30 April 2026 | CISA ED 25-03 |
| CISA Zero Trust Maturity Model | Versi 2.0; 5 pilar, 3 kemampuan lintas bidang, 4 tahap kematangan | CISA ZTMM |
Catatan konteks: arahan Ivanti berasal dari 2024, tetapi tetap menjadi contoh yang paling sering dikutip tentang sebuah lini produk VPN yang ditarik offline di seluruh pemerintah federal AS. Blog Zscaler ThreatLabz juga menandai CVE-2025-22457, celah kritis Ivanti dari 2025 yang diketahui dieksploitasi, sebagai bukti bahwa masalah ini tidak berakhir dengan ED 24-01.
6. Ukuran Pasar: Belanja SASE dan SSE Terus Bertambah
Belanja membuktikan pergeseran ini lebih baik daripada survei. Dell’Oro Group melaporkan pasar SASE mencapai US$3,5 miliar pada Q2 2026, kuartal kelima berturut-turut dengan pertumbuhan di atas 20% dari tahun ke tahun (Dell’Oro Group, September 2026). Pada Q1 2026 pasar melampaui US$3 miliar, naik 21%, dengan Security Service Edge (paket SSE yang mencakup ZTNA) naik 22% dan pendapatan router akses turun 10%. Dell’Oro mencatat bahwa pertumbuhan SSE inti melambat pada Q2 2026 sementara migrasi dari produk warisan terus berlanjut, yaitu penggantian VPN yang muncul dalam pendapatan.
Perkiraan terus direvisi ke atas. Pada Februari 2025 Dell’Oro memproyeksikan US$17,0 miliar pada 2029 dengan CAGR 12%; pada Agustus 2026 ia menaikkan proyeksinya menjadi US$24 miliar pada 2030 dengan CAGR 15%, dengan SSE inti saja di atas US$13 miliar. Pada 2022, Dell’Oro melaporkan bahwa pendapatan FWaaS dan ZTNA berlipat lebih dari dua dalam setahun (SDxCentral, Juli 2022).
| Metrik | Nilai | Sumber |
|---|---|---|
| Pendapatan SASE, Q2 2026 | US$3,5 miliar (kuartal ke-5 berturut-turut di atas +20% YoY) | Dell’Oro Group, September 2026 |
| Pendapatan SASE, Q1 2026 / pertumbuhan SSE | Lebih dari US$3 miliar, +21% / SSE +22% | Dell’Oro Group, Juni 2026 |
| Pendapatan SASE, Q2 2025 / pertumbuhan SSE / SD-WAN | US$2,7 miliar, +22% / +19% / +27% | Dell’Oro Group, September 2025 |
| Porsi pendapatan SASE dari vendor yang menawarkan SD-WAN sekaligus SSE | 84% (Q2 2025) | Dell’Oro Group, September 2025 |
| Perkiraan SASE | US$24 miliar pada 2030, CAGR 15%; SSE inti di atas US$13 miliar | Dell’Oro Group, Agustus 2026 |
| Perkiraan SASE sebelumnya / porsi vendor tunggal | US$17,0 miliar pada 2029, CAGR 12% / 90% pasar | Dell’Oro Group, Februari 2025 |
| Pendapatan keamanan jaringan, Q2 2025 / porsi virtual dan SaaS dari belanja baru | US$6,4 miliar, +8% / 78% | Dell’Oro Group, September 2025 |
| Pendapatan SSE, Q1 2022 | Lebih dari US$800 juta, +40% (FWaaS dan ZTNA berlipat lebih dari dua) | Dell’Oro Group, melalui SDxCentral, Juli 2022 |
Catatan konteks: pada 2022 Dell’Oro memperkirakan pasar SASE akan melampaui US$13 miliar pada 2026 (SDxCentral, Agustus 2022). Dengan Q1 dan Q2 2026 masing-masing di atas US$3 miliar dan US$3,5 miliar, semester pertama saja sudah di atas US$6,5 miliar, sehingga perkiraan tersebut tampak berada di jalur yang benar. Dell’Oro juga melaporkan bahwa keamanan jaringan diproyeksikan melampaui US$26 miliar pada 2025, dengan perangkat keras diperkirakan turun 2% sementara kontrol berbasis cloud tumbuh 20%.
7. Pengalaman Pengguna, Biaya, dan Tenaga Kerja Hibrida
Keamanan adalah argumen utama untuk ZTNA, tetapi gesekan sehari-hari-lah yang dirasakan karyawan. 51% organisasi mengatakan VPN mereka memberikan pengalaman pengguna yang buruk, dan 37% mengeluhkan biaya tinggi (Zscaler ThreatLabz 2025 VPN Risk Report). Keluhan spesifiknya biasa saja: 23% melaporkan koneksi lambat, 20% login yang rumit, dan 17% kesalahan autentikasi, sementara 47% tim TI menyebut tuntutan penambalan yang sering dan 54% kesulitan dalam pemecahan masalah. Untuk panggilan suara dan video real-time, setiap lompatan tambahan melalui konsentrator VPN pusat menambah latensi yang dirasakan pengguna sebagai lag.
Tenaga kerja yang menjadi acuan ukuran VPN sudah tidak ada lagi. Data Gallup Mei 2026 menunjukkan 52% pekerja AS yang bisa bekerja jarak jauh bekerja hibrida, 26% bekerja sepenuhnya jarak jauh, dan hanya 22% yang sepenuhnya di kantor, komposisi yang stabil sejak 2022. VPN yang dibangun sebagai jalur pengecualian bagi segelintir staf yang bepergian kini menjadi jalan utama bagi 78% pekerja yang bisa bekerja jarak jauh (52% hibrida + 26% jarak jauh), tema yang kami lacak dalam statistik kerja jarak jauh kami.
| Metrik | Nilai | Sumber |
|---|---|---|
| Menyatakan VPN memberi pengalaman pengguna yang buruk / menyebut biaya tinggi | 51% / 37% | Zscaler ThreatLabz, 2025 VPN Risk Report |
| Keluhan utama: kecepatan lambat / login rumit / kesalahan autentikasi | 23% / 20% / 17% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 |
| Beban pengelolaan: pemecahan masalah / penambalan sering / biaya sumber daya | 54% / 47% / 41% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 |
| Manfaat zero trust yang diharapkan: keamanan dan kepatuhan / pengelolaan lebih sederhana / biaya lebih rendah | 76% / 64% / 18% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 |
| Pekerja AS yang bisa bekerja jarak jauh: hibrida / sepenuhnya jarak jauh / di kantor | 52% / 26% / 22% (Mei 2026) | Gallup Indicator: Hybrid Work |
| Karyawan yang lebih memilih hibrida | 61% | Gallup Indicator: Hybrid Work |
Catatan konteks: hanya 18% responden yang mengharapkan zero trust menurunkan biaya operasional, sehingga alasan bisnisnya bertumpu pada pengurangan risiko dan pengalaman pengguna, bukan pada lisensi yang lebih murah.
Ringkasan: Adopsi VPN vs ZTNA Perusahaan dalam Angka
| Metrik | Nilai | Sumber |
|---|---|---|
| Berencana mengganti VPN dalam setahun | 65% (+23% dibandingkan laporan sebelumnya) | Zscaler ThreatLabz 2025 VPN Risk Report |
| Mengadopsi atau berencana menerapkan zero trust dalam 12 bulan | 81% | Zscaler ThreatLabz 2025 VPN Risk Report |
| Melaporkan pembobolan yang mengeksploitasi VPN dalam setahun terakhir | 56% | Zscaler ThreatLabz 2025 VPN Risk Report |
| Pertumbuhan CVE VPN, 2020 hingga 2025 | +82,5% (411 CVE) | Zscaler ThreatLabz, 2025 |
| Memberikan akses terbuka kepada pengguna terautentikasi | 24% | Cybersecurity Insiders, 2025 |
| Porsi perangkat edge dan VPN dalam eksploitasi | 3% menjadi 22% | Verizon DBIR 2025 |
| Kerentanan edge yang diperbaiki sepenuhnya | 54% (median 32 hari) | Verizon DBIR 2025 |
| Pembobolan yang dimulai dari kerentanan perangkat lunak | 31% | Verizon DBIR 2026 |
| Eksploit sebagai vektor infeksi awal teratas | 32% (tahun ke-6 berturut-turut) | Mandiant M-Trends 2026 |
| Dwell time backdoor pada perangkat jaringan | Hampir 400 hari | Mandiant M-Trends 2026 |
| Ukuran katalog KEV CISA | 1.733 kerentanan | CISA, Oktober 2026 |
| Tenggat pemutusan VPN Ivanti bagi lembaga | 2 Februari 2024 | CISA ED 24-01 |
| Emergency directive Cisco ASA | 25 September 2025 | CISA ED 25-03 |
| Pendapatan SASE, Q2 2026 | US$3,5 miliar | Dell’Oro Group |
| Pertumbuhan SSE, Q1 2026 | +22% YoY | Dell’Oro Group |
| Perkiraan SASE, 2030 | US$24 miliar (CAGR 15%) | Dell’Oro Group |
| Porsi ZTNA dalam akses jarak jauh baru pada 2025 (prediksi) | Setidaknya 70% | Gartner |
| Adopsi MFA dengan jaminan tinggi | 41% menjadi 58% | Okta Businesses at Work 2026 |
| Porsi hibrida pekerja AS yang bisa bekerja jarak jauh | 52% | Gallup, Mei 2026 |
| Melaporkan pengalaman pengguna VPN yang buruk | 51% | Zscaler ThreatLabz 2025 VPN Risk Report |
Metodologi dan Sumber
Setiap angka di atas dibaca selama riset untuk artikel ini dan diatribusikan kepada organisasi yang menghasilkannya. Jika halaman primer terkunci atau memblokir akses otomatis (DBIR lengkap Verizon, ruang berita Gartner), kami menggunakan perantara bernama yang mengutip studi aslinya dan menyatakannya di bawah. Estimasi ukuran pasar tanpa sumber untuk ‘pasar ZTNA’ dan ‘pasar VPN’ dari penjual laporan dan daftar SEO dikecualikan.
- Zscaler ThreatLabz dan Cybersecurity Insiders, 2025 VPN Risk Report: siaran pers, blog riset ThreatLabz, ringkasan laporan, halaman detail Cybersecurity Insiders
- Dell’Oro Group: SASE Q2 2026, SASE Q1 2026, SASE Q2 2025, perkiraan SASE hingga 2030 (PR Newswire, Agustus 2026), perkiraan SASE hingga 2029 (Februari 2025), Keamanan jaringan Q2 2025; angka 2022 melalui SDxCentral (Juli 2022) dan SDxCentral (Agustus 2022)
- Verizon: halaman landas DBIR 2026, siaran berita DBIR 2025; detail perangkat edge dan VPN melalui Eclypsium
- Google Mandiant: M-Trends 2026, M-Trends 2025
- CISA: ED 24-01 (Ivanti), AA24-060B, ED 25-03 (Cisco), katalog Known Exploited Vulnerabilities, Zero Trust Maturity Model
- Prediksi ZTNA Gartner dan survei AFCOM melalui Data Center Knowledge (Oktober 2022)
- Okta: Businesses at Work 2026, State of Zero Trust Security in Global Organizations (2020)
- Gallup: Indicator: Hybrid Work (Mei 2026)
- Catatan data: data survei khusus VPN yang paling kaya berasal dari satu studi yang dipesan vendor (Zscaler bersama Cybersecurity Insiders, 632 responden, awal 2025); Zscaler menjual ZTNA, dan halamannya sendiri melaporkan kekhawatiran pergerakan lateral sebagai 71% (peringkat kekhawatiran utama) sekaligus 89% (khawatir dalam tingkat apa pun), sehingga kami mengutip masing-masing dengan redaksinya. Tidak ada firma netral yang mempublikasikan hitungan gratis VPN terpasang dibandingkan lisensi ZTNA, dan prediksi Gartner tentang 70% ZTNA pada 2025 tidak memiliki rapor publik. Ukuran pasar SASE hanya berasal dari Dell’Oro Group: kami tidak dapat mengakses perkiraan SASE Gartner atau IDC, dan proyeksi Dell’Oro sendiri bergeser dari US$13 miliar pada 2026 (perkiraan 2022) ke US$17,0 miliar pada 2029 (2025) lalu ke US$24 miliar pada 2030 (2026). Angka perangkat edge Verizon 2025 dibaca melalui Eclypsium karena laporan lengkapnya terkunci; rincian perangkat edge DBIR 2026 tidak tersedia di halaman publik Verizon. Ruang berita Gartner dan situs NSA mengembalikan error 403, dan OMB M-22-09 tidak dapat diurai, sehingga tenggat zero trust federal tidak dikuantifikasi di sini. Angka Okta 2020 dan Gartner 2022 berusia lebih dari tiga tahun (data terbaru yang tersedia). Edisi 2026 dari Zscaler VPN Risk Report, jika diterbitkan, akan menggantikan bagian 1, 2, 3, dan 7.
Terakhir diperbarui: 3 Oktober 2026. Kami memperbarui rangkuman ini setiap kuartal, dan pembaruan berikutnya diperkirakan terjadi ketika Dell’Oro Group menerbitkan laporan SASE dan SD-WAN Q3 2026 dan Zscaler ThreatLabz merilis VPN Risk Report berikutnya.