Lokakarya "Regulasi e-Commerce Dalam Era Digital Ekonomi"
Juni Soehardjo

Pada hari Selasa, 2 Mei 2000 yang lalu Direktur Jenderal Pos dan Telekomunikasi mengadakan Lokakarya "Regulasi e-Commerce Dalam Era Digital Ekonomi" yang mengambil tempat di Ruang Rapat Direktorat Jendral Postel, Lantai 24, Gedung Departemen Perhubungan, Jakarta Pusat.
Presentasi pertama dalam lokakarya tersebut adalah mengenai "E-Business Assessment, Regulations and Trust" yang dibawakan oleh Phil Leifermann dari kantor konsultan keuangan Price Waterhouse Coopers. Topik pembicaraan hari itu dapat dibagi dalam 3 hal: (a) Penilaian terhadap e-business, (b) Peraturan e-business dan (c) menciptakan kepercayaan. 
Pada awalnya beliau mengatakan lebih menyukai istilah e-business karena istilahnya dirasakan lebih tepat; e-commerce adalah keadaan sekarang ini dimana produksi dan jasa dipasarkan, diperjual-belikan melalui internet, sementara e-business lebih luas artinya karena berarti "menggunakan informasi elektronis untuk memperbaiki kinerja, menciptakan nilai dan membuat hubungan-hubungan baru di antara para mitra usaha dagang." 
Menurut Leifermann e-business masih belum sepenuhnya terjadi di Indonesia walaupun sudah ada kegiatan perdagangan dengan cara itu kurang lebih 6 bulan terakhir ini.
Dalam menilai e-business beliau memberikan pengamatannya bahwa e-business merubah cara berniaga di seluruh dunia, dan karenanya kita harus memahami kemampuan e-business saat ini (dengan menggunakan standar praktek dunia) dan selanjutnya membuat rencana e-business untuk masa depan. Disebutkan pula adanya model dalam berniaga melalui e-business. Model pertama adalah presence (keberadaan) dimana penawaran dilakukan melalui basic website. Selanjutnya adalah model integration dimana transaksi sudah terjadi. Kedua model pertama ini disebut model enabler. Selanjutnya adalah model transformation dan convergence. Kedua model terakhir ini adalah merupakan proses bisnis yang mengalami perubahan total dan disebut juga model driver (pendorong).
Tahapan kematangan dalam melakukan transaksi melalui dunia maya ini berawal dari on-line access, yang diikuti oleh on-line business transactions, lalu integrated on-line business, diikuti oleh advance on-line business dan tahap terakhir adalah e-business dilakukan secara penuh. Mengingat tahapan yang begini panjang maka beliau menyarankan agar perusahaan membuat rancangan jangka panjang yang strategis. 
Untuk menunjang tingkat kematangan (maturity level) seperti tersebut di atas, maka faktor-faktor berikut ini adalah yang menolong pencapaiannya: (a) strategi, (b) organisasi dan kompetensi, (c) proses, (d) sistem dan teknologi, (e) pemenuhan kewajiban dan operasi, (f) keamanan, (g) perpajakan, (h) masalah hukum dan kinerja manajemen. Faktor strategi berhubungan erat dengan keharusan membuat perencanaan yang strategis dalam mengambil keuntungan penuh dari berbagai peluang yang ditawarkan oleh e-business ini. Sementara faktor organisasi dan kompetensi sudah pasti berkaitan dengan keahlian dan kemampuan yang harus dimiliki dalam melakukan usaha e-business. Selanjutnya faktor proses berkaitan dengan rantai nilai kegiatan yang paling utama dalam menjalankan produksi. Faktor pemenuhan kewajiban dan hal operasional adalah kegiatan e-business sehari-harinya yang dijalankan oleh pengusaha terkait. Faktor pajak berhubungan erat dengan perkara pemenuhan kewajiban dalam hal pajak – banyak pengusaha yang mengabaikan faktor ini karena tidak menyadarinya. Faktor legal disini dimaksudkan berkaitan dengan hak, kewajiban dan juga utang-piutang yang terjadi selama transaksi berjalan. Dan faktor terakhir adalah kinerja manajemen yang mencakup kegiatan merencanakan, mengukur, memonitor dan mengkontrol kinerja e-business yang dijalankan.
Topik kedua mengenai Peraturan e-business selanjutnya mengupas kebutuhan adanya peraturan yang mengikat kegiatan ini karena (a) e-business adalah transaksi yang sungguh berlainan dengan cara lama dalam berniaga, (b) sifat e-business adalah mendunia dan (c) efektivitas e-business tergantung dari kerangka hukum yang mendukung dan bisa dipercaya. Hal-hal yang harus diperhatikan oleh para regulator dalam membuat peraturan yang berkaitan dengan e-business ini adalah infrastruktur dan akses, perdagangan dan tarif, keamanan data, hak milik intelektual, hukum dan berlakunya hukum serta swa-regulasi. 
Di negara-negara yang sedang berkembang, infrastruktur dan akses biasanya menjadi bahan perdebatan yang bertumpang tindih dengan perkara monopoli, deregulasi dan pricing. Sementara perdagangan dan tarif berkaitan dengan peraturan yang dibuat oleh WTO (World Trade Organization) menjadi agak irelevan dengan keadaan e-business yang baru ini. Perlu diingat pula bahwa para pihak yang melakukan transaksi adalah perusahaan multinasional yang mampu menghadapi pemasaran global, distribusi dan juga siap melakukan sistem pembayaran global, penjual dan pembeli yang baru. Selanjutnya yang diperdagangkan juga tidak selalu berbentuk barang dan jasa, tetapi kategori barang yang baru yang tidak memerlukan bentuk fisik seperti informasi atau pun musik. Dan terjadinya pertukaran bisa diperdebatkan lagi, apakah transaksi terjadi di tempat pemesanan diberikan, atau tempat pengiriman, atau tempat barang dikonsumsi atau juga lokasi server berada.
Prioritas kedua adalah keamanan data. Faktor ini merupakan pokok kekhawatiran utama para pelaku bisnis karena berkaitan dengan hal kerahasiaan, integritas dan tersedianya data. Faktor ini juga merupakan barang bukti untuk otentisitas. Keaamanan data juga berkaitan dengan sistem keamanan yang disebut firewalls. Sistem keamanan juga harus memiliki PKI (Public Key Infrastructure) atau kunci infrastruktur publik atau sertifikat digital serta enkripsi yakni metoda sandi. 
Berkaitan dengan hukum serta wilayah hukum yang berlaku maka para pihak harus menyadari dan bersepakat hukum negara manakah yang akan dipakai, dan bila terjadi perselisihan antar para pihak sistem pengadilan manakah yang akan dimintai keputusannya dan sudah tentu resiko dan biaya litigasi yang mungkin terjadi. Mengingat perkembangan yang terjadi begitu cepatnya maka disarankan adanya upaya swa-regulasi sehingga industri terkait bisa mengatur dirinya sendiri dan menghindari terdapatnya peraturan yang rumit dan menjadi penghalang yang tidak sesuai dengan sifat e-business yang sederhana dan cepat. Adapun regulator yang mungkin bisa menciptakan swa-regulasi ini adalah WTO, OECD (Organisation for Economic Cooperation and Development), International Chamber of Commerce, APEC dan juga pemerintah sendiri.
Topik ketiga adalah menciptakan kepercayaan di antara para pelaku bisnis. Kepercayaan ini ditopang oleh faktor keamanan yang berkaitan dengan otentisitas, firewalls, metoda enkripsi serta PKI. Faktor kepercayaan selanjutnya adalah reliability (dapat dipercaya) – biasanya berkaitan dengan masalah hardware (perangkat keras) seperti operasi bisnis, kinerja manajemen, kemampuan operasional, kesinambungan operasional dan pemulihan bisnis. Faktor berikutnya adalah efektifivitas dan juga ketertundukan akan praktek bisnis yang terbuka seperti akses, otorisasi dan penagihan kredit, pemenuhan kewajiban, jasa pelayanan, pengembalian, tukar menukar, pengembalian uang dan juga pemberian kredit, serta integritas dan perlindungan informasi.
Dari penilaian e-business maka dapat diambil kesimpulan bahwa:
a.	Yang timbul ini memang merupakan suatu dunia baru yang harus kita hadapi, baik itu resiko yang bisa diperkecil tingkatannya, ketidakpastian yang harus ditangani maupun peluang yang bisa dipergunakan. 
b.	Peraturan perundang-undangan harus didorong dari bawah (para pelaku bisnis) sekaligus memerlukan komitmen dari atas (pemerintah). 
c.	E-business merupakan masalah bisnis dan tidak bisa dianggap sebagai perkara informasi dan teknologi semata. Oleh karena itu pendekatannya juga harus menggunakan pendekatan bisnis pula. Yakni dengan menimbulkan rasa kepercayaan di antara para pelaku bisnis 
Sesudah sesi tanya jawab dan rehat makan siang, giliran pembicara berikutnya, Bapak Arrianto Mukti Wibowo, membawakan makalahnya yang berjudul "Public Key Infrastructure and Certificate Authority". 
Beliau memapaparkan definisi e-commerce terlebih dahulu, kemudian masalah keamanan komunikasi dan apa saja yang diamankan (transaksi keuangan, e-mail, file transfer, tanda-tangan suatu kontrak dalam bentuk digital, informasi penting yang amat rahasia (baik perausahaan maupun untuk negara) dan transaksi bisnis lainnya. 
Pada bab Konsep Public Key Cryptography isu keamanan selanjutnya adalah ia harus memiliki privacy, authenticity, integrity dan non-repudiation. Kerahasiaan memberikan rasa aman bahwa data transaksi yang terjadi tetaplah terjaga dan tidak ada orang yang tidak berkepentingan yang dapat membukanya sementara keutuhan menjamin bahwa data yang bersangkutan dengan transaksi tidak menjadi berubah. Sementara keabsahan memberikan jaminan bahwa identitas pengguna memang benar adanya. Dan yang tak kalah pentingnya – terutama untuk kepentingan pembuktian – adalah non-repudiation yakni pembuktian yang tak dapat disangkal lagi. 
Cara untuk mengamankan transaksi adalah dengan Symetric Cryptography dimana digunakan kunci yang dipakai bersama oleh soerang pengirim pesan dan penerima pesan. Kegunaan Public Key Cryptography adalah dua hal mendasar yakni untuk menandatangani pesan dan mengirim surat rahasia dalam amplop yang tak dapat dibuka oleh orang lain. Dalam penggunaan public key cryptography setiap orang (entitas) memiliki sepasang kunci yakni kunci publik (yang didistribusikan kepada khalayak ramai) dan kunci privat (yang disimpan secara rahasia dan hanya diketahui sendiri). Pembicaraan teknis mengenai public key cryptography ini berkaitan dengan cara membungkus pesan, dan menandatangani pesan dengan public key cryptography. Disebutkan pula sifat tanda tangan digital yakni otentik, hanya sah untuk dokumen itu dan dapat diperiksa dengan mudah oleh siapapun. Keuntungan sertifikat digital adalah bisa membuat pipa komunikasi tertutup antara dua pihak, bis dipergunakan untuk membuat dn memeriksa tanda tangan, bisa dipakai untuk membuat surat izin digital melakukan aktifitas tertentu, dan bisa juga untuk off-line verification. Disebut pula fungsi hash yang memiliki sidik jari (finger print, message integrity check atau manipulation detection code). Sekali sebuah dokumen maka sidik jarinya akan berbeda pula. Tanda tangan digunakan baik di browser, SET, secure e-mail, penandatanganan dokumen, komunikasi aman di public network, jaringan wireless yang aman dan smartcard applications.
Pada bab selanjutnya Bapak Mukti menjelaskan konsep PKI dan manajemennya. Entitas PKI adalah certificate authority, subscriber, dan registration authority. Certificate authoriity (CA) adalah entitas yang namanya tertera sebagai issuer (penerbit) pada sebuah sertifikat digital. CA ini tidak harus pihak ketiga di luar organisasi seorang pelanggan. Sedangkan subscriber adalah entitas yang menggunakan sertifikat digital sebagai jati dirinya, ia bisa berupa software, downloadable application atau mobile agent. Sementara Registration Authority (RA) menjalankan beberapa tugas CA misalnya registrasi/physical authentication, key generation, key recovery, dan recovation reporting. Yang diperlukan dalam mengolah PKI antara lain adalah mengikuti standar ISO 9594-8, mempunyai teknik untuk mengupdate key-pair, bisa memakai banyak jenis alogaritma seperti RSA, DSA, El-Gamal, Schnoor, MD5, SHA1, DES, RC4, diperkenankannya key generation oleh subscriber dan memiliki CRL. Selain itu, dalam mengolah PKI, juga bisa digunakan berbagai macam protokol, mail, HTTP, TCP/IP, dan juga adanya mekanisme untuk pergantian kuncian, serta fungsi RA boleh dikerjakan oleh CA. Sertifikat ini bisa dicabut kalau seorang credit cardholder (dengan sertifikat digital) ternyata tidak pernah membayar tagihan bulanan.
Bab selanjutnya adalah mengenai Trust Model. Diagram mengenai relying party, certification path, direct cross-certification, hirarkis, hub authenticity, dan network of trust diberikan dengan lengkap.
Bab ke lima adalah mengenai Certificate Policy dan Certificate Practice Statement. Certificate Policy atau Izin Kegunaan bisa jadi setiap sertifikat yang memiliki beberapa kegunaan. Bisa juga hanya untuk suatu maksud tertentu. Yang lain adalah bisa juga ada CA khusus untuk setiap jenis kepentingan. Sementara Certification Practice Statement merupakan pernyataan tertulis yang menjelaskan secara detil bagaimana CA yang bersangkutan menjalankan prakteknya (registrasi, penerbitan, pencabutan, dll). CPS bisa juga berupa kontrak antara CA subscriber. Atau merupakan dokumen komposit yang terdiri dari hukum publik, kontrak CA subscriber atau deklarasi dari CA. Hal penting dalam CPS ini adalah: hak dan kewajiban dari para pihak, tanggungjawab kemungkinan kerugian, masalah keamanan CA, biaya, masalah audit, masalah kerahasiaan serta interpretasi akan statement (pernyataan) tersebut. 
Berkenaan dengan browser, terdapat pertanyaan-pertanyaan yang masih belum dapat terjawab secara memuaskan yakni mengenai jenis certification path apa yang didukung oleh MS dan NS, dan mengapa WISkey root CA-nya tidak ada di situ, dan bagaimana tekniknya agar Indonesia bisa masuk ke dalam 2 browser terkenal itu. Namun perlu diingat pula bahwa PKI dan CA bukan cuma untuk browser. Bapak Mukti juga berpendapat bahwa siapa saja yang memiliki kewenangan mengeluarkan identitas seharusnya juga berwenang mengeluarkan sertifikat digital. 
Masalah selanjutnya adalah berkaitan dengan legislasi. Bapak Mukti berpendapat agar dibuat hukum yang berlapis-lapis. Dimulai dengan hukum yang paling tinggi adalah hukum tanda tangan digital (digital signature law) sementara mekanisme detilnya sebaiknya berada dalam tingkat yang lebih rendah karena teknologi berubah secara cepat. Kerangka pikirannya sudah ada dari hasil riset Pusilkom UI dan Fakultas Hukum Universitas Indonesia.
Berikutnya adalah masalah yang berkaitan dengan key recovery. Pertanyaan yang juga belum bisa terjawab adalah bagaimana kalau kunci privat subscriber hilang. Seharusnya ada mekanisme agar kunci privat bisa didapatkan kembali dari C tetapi jaminan apa yang bisa diberikan bahwa C tidak akan menyalahgunakan kunci privat si subscriber yang disimpannya?
Masalah berikutnya adalah mengenai key escrow. Strong encryption bisa dimanfaatkan untuk membuat jaringan komunikasi bawah tanah suatu kejahatan. Di Amerika dahulu ada cara sebagai berikut: kunci privat dipecah menjadi tiga. Satu diserahkan kepada polisi, yang lain disertahkan kepada DA, dan selanjutnya yang terakhir kepada CA. Ada pula ancaman bila tidak mau menyerahkan kunci privat (apa pun alasannya) maka ia diancam akan dipenjara.
Pada akhir babnya, Bapak Mukti memberikan saran sebagai berikut: kalau hendak membuat hukum tentang digital signature, PKI dan CA melibatkan orang dari berbagai aspek yakni teknis, bisnis dan hukum; terjadinya banyak kelemahan yang terdapat dalam digital signature law adalah karena adanya oversimplification (penyederhanaan) yang dilakukan oleh para pembuat kebijakan.
Sesudah tanyajawab, Bapak Ono Purbo selaku moderator memberikan kesimpulan sebagai berikut:
a.	Diperlukannya cyber law, 
b.	Koordinasi antar departemen, 
c.	Transparansi mengenai apa saja yang bisa diakses oleh setiap orang 
Tak lupa beliau mengundang mereka yang berminat untuk turut rembuk dalam mailing list pada mastel.e-commerce@egroups.com untuk hal yang berkaitan dengan regulasi serta iisi@egroups.com untuk hal yang berkaitan dengan masalah teknis.