TRIBUNNERS - Komputasi kuantum berkembang pesat dan secara luas diperkirakan akan menjadi kemampuan strategis praktis sekitar tahun 2030, bahkan lebih awal di tahun 2029. Tetapi implikasi keamanan siber dari transisi tersebut tidak ditunda hingga tahun 2030.
Sebaliknya, risiko kriptografi harus diperlakukan sebagai hal yang sangat penting mulai sekarang karena fenomena "kumpulkan data sekarang, dekripsi nanti" yang terkenal, di mana musuh dapat merekam lalu lintas terenkripsi hari ini dan mendekripsinya nanti setelah komputasi kuantum yang cukup mumpuni tersedia.
Akibatnya, manajemen risiko nasional untuk kriptografi pasca-kuantum (PQC) harus direncanakan sebagai program migrasi lintas sektor dan di seluruh perusahaan, bukan hanya sebagai eksperimen teknologi semata. Hal ini sangat penting untuk sistem yang melindungi kerahasiaan jangka panjang, seperti komunikasi strategis, infrastruktur identitas dan otentikasi, integritas transaksi keuangan, operasi industri kritis, dan sistem keamanan transportasi.
Baca juga: Cegah Aksi Peretasan, Cloudflare Perluas Dukungan Kriptografi di Semua Protokol IP
Dalam konteks ini, Indonesia harus mengadopsi strategi mitigasi PQC terstruktur yang (1) memprioritaskan tindakan perlindungan segera untuk lingkungan yang paling sensitif, (2) membangun kesiapan teknis dan tata kelola melalui inventarisasi, uji coba, dan migrasi bertahap, dan (3) menegakkan ketangkasan kriptografi sehingga perubahan kriptografi di masa mendatang, baik yang didorong oleh evolusi PQC atau terobosan kriptografi lainnya, dapat diterapkan dengan cepat dan aman.
Standar dan panduan publik yang bereputasi dari badan internasional yang diakui tentang transisi PQC dan kesiapan kriptografi secara konsisten menekankan bahwa organisasi perlu menginventarisasi kriptografi saat ini, merencanakan jadwal migrasi, memvalidasi interoperabilitas, dan memperkenalkan kontrol ketangkasan sehingga rangkaian kriptografi dapat ditingkatkan tanpa mengganggu layanan penting (misalnya, upaya standardisasi kriptografi pasca-kuantum NIST dan panduan transisi terkait).
Riset yang ditinjau oleh rekan sejawat dan analisis para ahli juga menggarisbawahi bahwa jendela migrasi merupakan fungsi dari siklus hidup sistem, siklus pengadaan, pemetaan ketergantungan, dan sensitivitas data jangka panjang, artinya pendekatan yang paling aman adalah memulai sekarang meskipun beberapa kemampuan terkait kuantum matang lebih lambat daripada jadwal rekayasa langsung.
Kesiapan PQC di seluruh ASEAN tidak merata dan sulit dibandingkan dengan satu metrik universal karena negara-negara menerbitkan tingkat detail yang berbeda. Tetapi tolok ukur praktis dapat dibaca dari sinyal tata kelola yang terlihat (arah nasional dan persyaratan yang mengikat), keberadaan inventaris aset kripto/kriptografi, mandat untuk ketangkasan kripto dalam pengadaan dan desain sistem. Kemudian apakah rencana migrasi bertahap (skala percontohan) didanai dengan jangka waktu yang terukur.
Biasanya Singapura menunjukkan "sinyal kesiapan" terkuat karena koordinasi pemerintah yang lebih matang dan keselarasan industri/regulasi. Malaysia dan Thailand sering menunjukkan kesiapan moderat yang bergantung pada pelaksanaan sektor/lembaga dan panduan yang berkembang.
Sementara Indonesia dan kasus-kasus dengan visibilitas lebih rendah lainnya umumnya menunjukkan variabilitas yang lebih besar di mana kemajuan mungkin ada tetapi cakupan inventaris nasional, dasar ketangkasan kripto yang dapat ditegakkan, dan peta jalan migrasi bertahap yang dianggarkan seringkali menjadi kesenjangan utama.
Oleh karena itu, kesimpulan lintas-ASEAN yang paling dapat ditindaklanjuti adalah bahwa negara-negara yang melembagakan yakni Pertama; inventaris kriptografi sekarang untuk memungkinkan manajemen risiko “panen sekarang, dekripsi nanti”.
Kedua; ketangkasan kriptografi sebagai persyaratan pengadaan/sistem yang wajib.. Dan Ketiga; migrasi PQC bertahap dengan standar interoperabilitas di seluruh sektor kritis (keuangan, pemerintah, telekomunikasi, energi, transportasi) akan bergerak dari kesadaran/uji coba ke kesiapan paling cepat.
Baca juga: Libatkan Ratusan SDM, Tencent dan IDStar Dorong Transformasi Cloud di Indonesia
Untuk menerjemahkan ini ke dalam rencana nasional yang dapat ditindaklanjuti, Indonesia harus memulai dengan prioritas yang paling kritis dan sensitif waktu. Menerapkan PQC sekarang untuk sektor prioritas dan domain data sensitif. Secara khusus, adopsi PQC segera harus diupayakan untuk Bank Indonesia, Bank Himbara, sistem militer, infrastruktur energi, dan sistem transportasi, terutama keamanan penerbangan dan komunikasi terkait penerbangan, alur otorisasi, dan antarmuka kontrol operasional.
Alasan utamanya adalah lingkungan ini menggabungkan (i) persyaratan kerahasiaan dan integritas bernilai tinggi, (ii) potensi paparan data jangka panjang (misalnya, catatan, jejak audit, dan arsip komunikasi), dan (iii) kendala operasional yang membuat migrasi terlambat menjadi mahal atau mengganggu.
“Implementasikan PQC sekarang” dalam praktiknya harus mencakup penerapan kriptografi dan kontrol risiko sistematis. Pertama, lakukan inventarisasi semua aset data sensitif (termasuk kategori, pemilik, periode retensi, dan jalur berbagi/transfer). Kedua, lakukan inventarisasi kriptografi komprehensif yang mengidentifikasi di mana primitif kriptografi digunakan di berbagai layanan—seperti TLS/VPN, penandatanganan kode, operasi Infrastruktur Kunci Publik (PKI), pengiriman pesan aman, otentikasi/otorisasi, manajemen kunci, enkripsi basis data, pencadangan, dan antarmuka pertukaran data dengan pihak ketiga.
Inventarisasi ini harus dibatasi waktu dan diberi peringkat risiko sehingga perbaikan dimulai dengan dampak kerahasiaan tertinggi dan jendela paparan terpanjang. Jika penggantian PQC secara langsung dan menyeluruh tidak memungkinkan untuk setiap komponen, langkah-langkah sementara tetap harus diterapkan untuk mengurangi risiko, seperti peningkatan konfigurasi kriptografi dengan properti keamanan yang dipahami dengan baik saat ini sambil mempercepat peta jalan menuju kesiapan PQC.
Namun, tujuan strategisnya tetaplah adopsi PQC untuk sistem dan siklus hidup data yang paling sensitif. Prinsip panduannya adalah bahwa "kesiapan PQC tanpa migrasi PQC" tidak cukup. Organisasi harus menunjukkan kemajuan yang terukur dalam cakupan kriptografi untuk layanan berisiko tertinggi mereka, dan mereka harus mendefinisikan apa arti "perlindungan data sensitif" dalam istilah kriptografi—apa yang dilindungi, dengan standar apa, menggunakan rangkaian kriptografi mana, dan dengan jadwal migrasi apa.
Hal ini sejalan dengan prinsip-prinsip transisi yang dipublikasikan secara luas dari komunitas standar PQC dan kerangka kerja ketangkasan kriptografi praktis yang menekankan inventarisasi, pengujian kompatibilitas, penerapan bertahap, dan validasi di seluruh dependensi daripada penggantian "besar-besaran" tunggal (misalnya, materi program NIST PQC. Diskusi ketangkasan kriptografi dan migrasi dalam publikasi berorientasi standar dan literatur yang ditinjau sejawat tentang migrasi kriptografi di bawah ancaman yang berkembang).
Setelah aktivitas inventarisasi kritis selesai—terutama pemetaan data sensitif dan pemetaan ketergantungan kriptografi—Indonesia harus beralih ke Prioritas 2: mengimplementasikan pendekatan kuantum hibrida percontohan dan, yang terpenting, menghasilkan jadwal dan anggaran migrasi yang disiplin untuk transisi di seluruh perusahaan.
"Percontohan kuantum hibrida" harus dipahami sebagai fase terkontrol dan terkelola risiko untuk menguji kelayakan, interoperabilitas, dan perilaku operasional untuk komponen yang mungkin memanfaatkan skema hibrida atau pendekatan perencanaan tahan kuantum, tanpa mengubah sistem penting secara prematur dengan cara yang tidak dapat divalidasi.
Hasil langsung dari fase ini tidak hanya berupa eksperimen teknis tetapi juga rencana migrasi formal yang memperhitungkan waktu tunggu pengadaan, siklus penggantian perangkat keras/perangkat lunak, perubahan manajemen sertifikat dan kunci, ketergantungan sistem identitas, persyaratan interoperabilitas dengan mitra eksternal, dan pengujian penerimaan operasional.
Jadwal migrasi harus mendefinisikan target kematangan kemampuan PQC untuk setiap domain prioritas (misalnya, jalur otentikasi keuangan, tautan pesan antar bank, akses jarak jauh yang aman, penerbitan/validasi PKI, penandatanganan artefak transaksi penting, dan saluran komunikasi aman yang digunakan oleh unit operasional). Anggaran tersebut harus mencakup validasi rekayasa dan keamanan, pelatihan, peningkatan perangkat untuk inventaris dan manajemen kriptografi otomatis, perbaikan vendor untuk sistem pihak ketiga, kegiatan audit/jaminan, dan penanganan kontingensi untuk masalah interoperabilitas.
Literatur yang ditinjau oleh rekan sejawat dan komunitas standar secara konsisten menunjukkan bahwa migrasi kriptografi bersifat proyek: bergantung pada grafik ketergantungan, lingkungan pengujian, kompatibilitas dengan pihak yang bergantung, dan penguatan operasional. Oleh karena itu, proyek percontohan harus langsung berkontribusi pada tonggak migrasi yang terukur daripada tetap menjadi kegiatan penelitian yang terisolasi.
Selain itu, tahap percontohan kuantum hibrida harus mencakup artefak tata kelola: penilaian risiko, prosedur manajemen perubahan, strategi pengembalian atau mitigasi, dokumentasi kepatuhan, dan rencana komunikasi untuk pemilik sistem dan pemangku kepentingan. Tujuannya adalah untuk mengubah ketidakpastian menjadi tindakan yang didorong oleh jadwal sehingga negara dapat bertransisi sebelum kemampuan pembobolan kriptografi skala besar menjadi kredibel.
Sejalan dengan Prioritas 2, Indonesia harus menerapkan Prioritas 3: ketangkasan kripto sebagai persyaratan wajib bagi semua badan pemerintah dan untuk setiap implementasi baru yang melibatkan kriptografi atau kerahasiaan jangka panjang. Ketangkasan kriptografi adalah kemampuan untuk beralih algoritma dan parameter kriptografi dengan gangguan minimal, yang sangat penting karena algoritma PQC dapat berevolusi, implementasi dapat matang, dan persyaratan operasional dapat berubah selama periode migrasi.
Dalam praktiknya, ketangkasan kriptografi berarti bahwa sistem dirancang dengan lapisan abstraksi kriptografi, negosiasi algoritma jika sesuai, pemilihan kriptografi berbasis kebijakan, manajemen kunci terpusat dan kontrol siklus hidup sertifikat, serta antarmuka yang jelas antara modul kriptografi dan logika bisnis.
Ini juga berarti standar pengadaan dan pengembangan perangkat lunak harus mensyaratkan ketangkasan kriptografi secara default: kontrak harus menentukan tanggung jawab migrasi PQC, menyediakan jalur pembaruan untuk primitif kriptografi, dan mensyaratkan kepatuhan terhadap kontrol kebijakan kriptografi. Tanpa ketangkasan kriptografi, organisasi berisiko terkunci dalam implementasi kriptografi yang kaku yang tidak dapat diganti dengan cepat, mengubah adopsi PQC menjadi perancangan ulang yang berkepanjangan dan mahal.
Panduan berorientasi standar dan penelitian ahli tentang ketangkasan kriptografi menekankan bahwa keberhasilan migrasi tidak hanya bergantung pada pilihan algoritma tetapi juga pada fleksibilitas arsitektur—mendukung peningkatan yang lebih cepat, mengurangi biaya perubahan, dan memungkinkan penghapusan kriptografi usang yang lebih aman.
Bagi Indonesia, persyaratan ini seharusnya tidak hanya berlaku untuk lembaga pemerintah pusat, tetapi juga untuk lembaga dan sistem yang menyediakan layanan kepada warga dan bisnis, terutama di mana sistem pemerintah terintegrasi dengan lembaga keuangan, operator infrastruktur kritis, mitra terkait pertahanan, penyedia layanan identitas, dan ekosistem transportasi/penerbangan.
Pemerintah harus mengkodifikasi persyaratan ketangkasan kriptografi dalam peraturan teknis dan kerangka pengadaan, dan harus menetapkan mekanisme akuntabilitas sehingga ketangkasan kriptografi dapat diukur—seperti dengan memverifikasi cakupan inventaris kriptografi, mendemonstrasikan jalur penggantian algoritma di lingkungan terkontrol, dan mewajibkan pelaporan berkala tentang postur keamanan dan kriptografi. Dengan menjadikan ketangkasan kriptografi wajib, Indonesia mengurangi risiko bahwa transisi PQC di masa mendatang tertunda karena kendala arsitektur, sehingga meningkatkan ketahanan bahkan jika garis waktu kuantum tertentu
bergeser.
Untuk mengaktifkan program nasional ini secara efektif, Indonesia juga harus bertindak pada lapisan tata kelola dan koordinasi hukum melalui kebijakan: mendorong Peraturan Presiden yang mendesak tentang mitigasi PQC dan memberikan wewenang yang lebih besar kepada BSSN sebagai badan utama yang berwenang untuk mengkoordinasikan implementasi PQC di seluruh lembaga pemerintah. Tanpa otoritas utama yang jelas, upaya migrasi PQC dapat terfragmentasi di berbagai kementerian dan lembaga, yang menyebabkan inventaris yang tidak konsisten, pilihan kriptografi yang tidak kompatibel, penegakan yang tidak merata, dan pengawasan yang lemah terhadap ketergantungan pihak ketiga.
Peraturan Presiden harus menetapkan persyaratan wajib seperti: (i) kewajiban inventaris kriptografi dan data sensitif tingkat organisasi, (ii) persyaratan ketangkasan kriptografi untuk sistem baru, (iii) tenggat waktu dan tonggak berbasis risiko untuk adopsi PQC di sektor prioritas, (iv) kewajiban pelaporan dan audit untuk verifikasi kemajuan, dan (v) harapan kesesuaian standar untuk memastikan keselarasan dengan panduan PQC yang bereputasi dan praktik terbaik kriptografi.
Regulasi tersebut juga harus mendefinisikan wewenang BSSN untuk menetapkan standar minimum, mengoordinasikan panduan nasional dan arsitektur referensi teknis, mengawasi kepatuhan untuk sistem pemerintah, dan berkoordinasi dengan pemangku kepentingan sektor seperti regulator keuangan, operator infrastruktur kritis, otoritas transportasi/penerbangan, dan entitas terkait pertahanan.
Karena migrasi sangat bergantung pada koordinasi operasional dan manajemen ketergantungan, BSSN harus diberi wewenang untuk menyelaraskan persyaratan di berbagai lembaga, termasuk memastikan bahwa layanan bersama, identitas, layanan PKI, gerbang komunikasi aman, dan kemampuan perlindungan data di seluruh pemerintah, memiliki rencana transisi PQC yang koheren. Regulasi tersebut juga harus membahas interaksi dengan sektor swasta dan operator kritis, karena banyak risiko yang relevan dengan pemerintah muncul melalui rantai pasokan dan titik integrasi eksternal.
Memberdayakan BSSN dengan cara ini selaras dengan realitas praktis bahwa manajemen risiko kriptografi bukanlah upaya yang murni teknis; ini adalah program kelembagaan yang membutuhkan tata kelola, akuntabilitas, dan standardisasi untuk memastikan koherensi skala nasional. Di bawah model tata kelola ini, Indonesia dapat memperlakukan migrasi PQC sebagai upaya modernisasi keamanan berkelanjutan yang membangun ketahanan terukur daripada sebagai penerapan ad-hoc.
Singkatnya, strategi mitigasi PQC Indonesia harus mengakui bahwa kemajuan komputasi kuantum menuju ~2030 merupakan risiko keamanan nasional dan infrastruktur kritis yang mengancam, sementara konsekuensi kriptografi dimulai lebih awal karena retensi data yang lama dan paparan "ambil sekarang, dekripsi nanti".
Respons harus disusun berdasarkan tiga prioritas: (1) menerapkan PQC sekarang untuk Bank Indonesia, Bank Himbara, militer, energi, dan transportasi—terutama keamanan penerbangan—melindungi semua data sensitif melalui inventaris data sensitif dan kriptografi segera; (2) setelah inventaris selesai, meluncurkan inisiatif kuantum hibrida percontohan secara terkontrol sambil menghasilkan garis waktu dan anggaran migrasi untuk meningkatkan transisi PQC dengan aman; dan (3) mewajibkan ketangkasan kripto sebagai dasar wajib bagi semua badan pemerintah dan semua implementasi kriptografi baru untuk memastikan peningkatan di masa mendatang yang cepat tanpa desain ulang yang mengganggu.
Terakhir, untuk mewujudkan prioritas-prioritas ini dalam skala nasional, Indonesia harus segera mendorong diberlakukannya Peraturan Presiden tentang mitigasi PQC di seluruh pemerintahan dan memberikan wewenang yang lebih kuat kepada BSSN sebagai koordinator utama yang berwenang untuk implementasi, kepatuhan, dan koordinasi PQC dengan sektor-sektor penting dan pemangku kepentingan rantai pasokan.
Jika dilaksanakan dengan tata kelola yang disiplin, inventaris yang terukur, dan perencanaan migrasi bertahap, Indonesia dapat mengurangi risiko kriptografi terkait kuantum, memperkuat kepercayaan pada sistem keuangan dan infrastruktur penting, serta melindungi warga negara dan kepentingan nasional dari ancaman era kuantum yang muncul.
