Penyelenggara Sertifikasi Elektronik (PSrE) di Indonesia diwajibkan memenuhi sederet standar fasilitas dan keamanan sebelum dapat beroperasi menerbitkan sertifikat elektronik. Ketentuan ini penting diketahui perusahaan yang tengah memilih penyedia layanan tanda tangan digital, sebab keabsahan dokumen elektronik sangat bergantung pada infrastruktur di balik layanan tersebut, bukan sekadar tampilan aplikasi atau harga.
Dasar Hukum dan Sistem Wajib
Acuan utama penyelenggaraan sertifikasi elektronik adalah Peraturan Menteri Komunikasi dan Informatika Nomor 11 Tahun 2018. Aturan itu mewajibkan penyedia menyerahkan bukti audit fasilitas dari lembaga sertifikasi resmi, serta mempekerjakan minimal dua belas tenaga ahli. Sejumlah sistem inti juga harus tersedia sebelum layanan dibuka ke publik, di antaranya sistem pendaftaran pemilik sertifikat, pembuatan tanda tangan elektronik, penerbitan sertifikat, penanda waktu (timestamp), dan verifikasi status sertifikat secara daring.
Perlindungan Kunci dan Kesiapan Infrastruktur
Kunci kriptografi, sebagai aset paling sensitif dalam layanan ini, wajib diamankan dengan perangkat bersertifikasi FIPS 140-2 level 3 yang mendeteksi upaya pembongkaran fisik. Keamanan fisik ruang server turut diawasi lewat rekaman CCTV dan log akses pintu. Dari sisi ketersediaan layanan, data center penyedia disyaratkan memiliki sertifikasi setara TIER 3 Construction dari Uptime Institute atau standar sejenis, dengan seluruh perangkat keras dan lunak bersifat redundant, dilengkapi pendeteksi banjir, daya cadangan minimal 30 menit, serta pembangkit listrik yang mampu bertahan lebih dari dua jam.
Langkah Menilai Penyedia
Sebelum berlangganan layanan tanda tangan digital untuk kontrak bernilai besar, perusahaan disarankan memastikan penyedia terdaftar dan diawasi Kementerian Kominfo, meminta bukti laporan audit fasilitas, menanyakan standar keamanan informasi seperti ISO 27001, memeriksa model integrasi sistem, serta memahami prosedur pencabutan sertifikat. Prosedur pencabutan kerap terlewat dan baru dicari saat karyawan mengundurkan diri, padahal persiapan lebih awal dapat mencegah sertifikat aktif tertinggal di tangan mantan pegawai.
Catatan Redaksi. Artikel ini bersumber dari ezSign for Business, penyedia layanan tanda tangan elektronik yang juga tunduk pada aturan PSrE yang dibahas di dalamnya. FIPS 140-2 level 3 adalah standar keamanan modul kriptografi yang mengharuskan perangkat penyimpan kunci digital mampu mendeteksi upaya pembongkaran fisik. Sementara itu, sertifikasi TIER 3 dari Uptime Institute menandakan pusat data memiliki jalur daya dan pendingin ganda, sehingga perawatan bisa dilakukan tanpa menghentikan layanan.
Sumber: ezSign for Business.
