Kepercayaan dan Keamanan Dalam Ruang Siber Nasional

KEPERCAYAAN dan keamanan dalam ruang siber nasional bukan sekadar istilah teknis: keduanya adalah fondasi utama bagi kedaulatan digital Indonesia.

Apa artinya kedaulatan jika fondasi kepercayaan digital kita masih bergantung pada tangan asing?

Di tengah ketidakpastian global yang semakin kompleks, negara harus mampu menentukan siapa yang patut dipercaya—dan bagaimana kepercayaan itu dibangun serta dikelola secara sistematis.

Model lama yang hanya mengandalkan perimeter atau batas jaringan kini sudah usang.

Ancaman tidak lagi datang dari luar semata, tetapi juga dari dalam sistem itu sendiri. Karena itu, arsitektur keamanan yang adaptif, berbasis verifikasi, dan berdaya tahan tinggi menjadi satu-satunya pilihan untuk menjamin perlindungan informasi nasional.

Dalam artikel saya “” (Kompas.com, 6 Mei 2025), saya menegaskan bahwa tanpa kerangka nasional, ruang digital Indonesia rentan menjadi ajang benturan antarlembaga.

Dalam konteks ini, konsep Zero Trust yang dirumuskan Stafford dalam NIST SP 800-207 (2020) menjadi sangat relevan. Prinsip dasarnya sederhana: never trust, always verify.

Setiap akses—baik oleh manusia, mesin, maupun sistem—wajib diverifikasi melalui bukti kriptografis yang sah.

Namun, prinsip ini tidak dapat berdiri sendiri. Ia membutuhkan landasan identitas digital yang kokoh dan terpercaya.

Di sinilah Root Certificate Authority (Root CA) berperan sebagai trust anchor atau fondasi utama. Root CA memastikan keabsahan semua sertifikat digital yang beredar dalam sistem. Tanpa Root CA, tidak ada validasi; tanpa validasi, zero trust hanya tinggal slogan.

Analoginya, Root CA adalah pondasi dari bangunan canggih. Semegah apapun strukturnya, tanpa fondasi yang kuat, seluruh bangunan bisa runtuh sewaktu-waktu.

Ketergantungan asing dan ketiadaan komando

Model keamanan berlapis memang memungkinkan segmentasi risiko dan pengawasan yang lebih ketat. Namun, semua itu akan sia-sia jika tata kelolanya tidak dikuasai oleh lembaga nasional yang kredibel.

Idealnya, mandat strategis ini diletakkan pada Badan Siber dan Sandi Negara (BSSN), yang memiliki otoritas dalam bidang keamanan dan kriptografi.

Penyelenggara teknis tetap dapat menjalankan perannya, selama tunduk pada regulasi yang tegas dan terkoordinasi.

Sayangnya, banyak lembaga di Indonesia—termasuk institusi pemerintah—masih menggunakan Root CA asing seperti Let’s Encrypt, DigiCert, atau GlobalSign.

Ketergantungan ini laksana mendirikan pos jaga di atas tanah orang lain: keberadaannya bisa dicabut sewaktu-waktu.

Melalui Balai Sertifikasi Elektronik (BSrE), BSSN sudah membangun infrastruktur kepercayaan digital untuk sektor publik.

Namun, studi Mubarak dan kawan-kawan (2022) menunjukkan masih ada hambatan serius. Kewenangan yang terbatas, sumber daya manusia yang minim, dan tumpang tindih antarlembaga memperlemah eksekusi.

Tanpa kerangka hukum yang jelas dan kelembagaan yang kokoh, pembangunan ini mudah terhenti di tengah jalan.

RUU KKS dan kepemimpinan kepercayaan digital

Lalu, apakah posisi Root CA sudah cukup terlindungi secara hukum? Sayangnya belum. Pasal 13A UU Nomor 1 Tahun 2024 memang memperluas mandat Penyelenggara Sertifikasi Elektronik (PSrE).

Namun, ruang lingkupnya masih terbatas pada layanan hilir: tanda tangan elektronik, segel, dan autentikasi situs.

Root CA sebagai fondasi sistem justru belum tersentuh secara substansial. PP Nomor 71 Tahun 2019 tentang Penyelenggaraan Sistem dan Transaksi Elektronik juga belum menjawab tantangan ini.

Regulasi ini mengatur aspek teknis penyelenggaraan PSrE, tetapi tidak memuat struktur komando nasional untuk Root CA.

Kekosongan ini membuka celah konflik otoritas dan mengancam integritas ekosistem digital kita.

RUU Keamanan dan Ketahanan Siber (RUU KKS) harus menjadi batu pijakan untuk menyelesaikan dualisme kewenangan. Ia harus menempatkan Root CA sebagai komponen legal dan operasional dari arsitektur pertahanan siber nasional.

Urgensi ini bukan semata-mata bersifat normatif, tetapi juga berkaca dari praktik terbaik di negara lain.

Amerika Serikat mengelola Federal Public Key Infrastructure (FPKI) melalui GSA, bekerja sama dengan Departemen Pertahanan Amerika Serikat (DoD) dan National Institute of Standards and Technology (NIST).

Uni Eropa melalui regulasi eIDAS mewajibkan penyedia layanan kepercayaan berada di bawah pengawasan otoritas independen.

Belanda menempatkan Root CA di bawah Logius, lembaga pemerintah di bawah Kementerian Dalam Negeri.

Negara di atas hadir sebagai penjamin otoritatif kepercayaan digital, bukan menyerahkannya ke pasar bebas. Semua menempatkannya dalam kerangka hukum publik dan kepemimpinan nasional yang jelas.

Inilah pelajaran yang mestinya juga diambil oleh Indonesia. RUU KKS bukan sekadar kumpulan pasal. Ia harus menjadi doktrin digital nasional—kerangka strategis yang memetakan ancaman dan menetapkan trust anchor.

PP PSTE (2019) dan Pasal 13A UU ITE (2024) memang membuka jalan. Namun, belum menyentuh pertanyaan paling fundamental: siapa yang berwenang mengendalikan fondasi kepercayaan digital Indonesia?

Tanpa jawaban tegas, ruang siber akan tetap menjadi wilayah tanpa penguasa.

masing lembaga mungkin berjalan, tapi tanpa arah yang disepakati bersama. RUU KKS harus menetapkan Root CA di bawah otoritas nasional yang sah.

Koordinasi terstruktur antara BSSN, Kementerian Komunikasi dan Digital, dan kementerian/lembaga lainnya menjadi prasyarat mutlak.

Menetapkan Root CA nasional bukan sekadar keputusan teknis. Ini adalah pernyataan politik tentang siapa yang berhak mengatur kepercayaan di negeri ini.

Tanpa kejelasan mandat dan struktur komando, seluruh ekosistem digital kita akan berjalan dalam keraguan.

Inilah saatnya negara hadir bukan hanya sebagai fasilitator, melainkan sebagai pengawal kedaulatan digital secara utuh.

Kita berharap kegagalan koordinasi yang terjadi dalam pembahasan RUU KKS pada 2019 tidak terulang pada 2025 ini.

Seluruh kementerian dan lembaga terkait harus menunjukkan komitmen aktif dalam harmonisasi antarinstansi dan pembahasan bersama DPR RI. Momentum ini tidak boleh disia-siakan.

Zero trust tanpa root CA nasional ibarat rumah pintar di atas tanah pinjaman. Terlihat modern di permukaan, tetapi rapuh di dalam.

Jika Indonesia sungguh ingin merdeka di ruang digital, maka fondasi kepercayaannya tidak boleh dipinjam.

Ia harus dibangun sendiri, dijaga sendiri, dan diatur oleh negara sendiri.