Membangun Verifikasi Identitas yang Aman dan Patuh dalam Era eIDAS 2.0

Di seluruh Uni Eropa, eIDAS (identifikasi elektronik, autentikasi, dan layanan kepercayaan) adalah salah satu regulasi kunci yang menentukan bagaimana warga, bisnis, dan otoritas berinteraksi satu sama lain dalam lingkungan digital. Diadopsi pada tahun 2016, eIDAS menetapkan standar untuk identifikasi elektronik dan menciptakan kepastian hukum untuk interaksi digital di seluruh Uni.

Versi yang diperbarui (eIDAS 2.0) membawa beberapa fitur penting ke kerangka eIDAS asli. Pertama-tama, itu memperkenalkan Dompet Identitas Digital Eropa yang harus disediakan oleh setiap negara anggota Uni Eropa untuk warganya pada akhir tahun 2026. Dompet ini dimaksudkan untuk mempermudah interaksi digital di seluruh perbatasan karena memungkinkan orang untuk mengidentifikasi diri mereka sendiri, menyimpan, dan berbagi data yang diverifikasi, serta mengakses layanan publik dan swasta.

Namun, ketika pendaftaran digital menjadi lebih standar, bisnis perlu memikirkan tidak hanya tentang kepatuhan, tetapi juga tentang bagaimana sistem verifikasi mereka dibangun. Yang benar-benar penting adalah apakah data pengguna yang sensitif dapat diproses tanpa pernah meninggalkan perimeter yang aman dalam arsitektur on-premise atau on-device. Bagi bisnis, ini berarti bahwa menyelaraskan alur kerja KYC dengan kerangka baru hanya sebagian dari tugas. Yang sama pentingnya adalah memilih teknologi yang mendukung kepatuhan tanpa menyimpan dan mengirimkan data sensitif di mana pun.

Mengenal Tingkat Kepercayaan eIDAS

Aturan eIDAS memstandarisasi bagaimana sarana identifikasi elektronik harus diterbitkan dan digunakan, yang membuat pendaftaran dalam layanan digital menjadi lancar bagi pelanggan tanpa memandang negara Uni Eropa mana mereka berasal. Kerangka ini mendefinisikan tiga Tingkat Kepercayaan (LoA) – masing-masing berisi serangkaian standar untuk identifikasi elektronik. Standar ini adalah apa yang dibutuhkan oleh penyedia KYC dan vendor verifikasi identitas untuk diselaraskan jika mereka ingin mempresentasikan diri sebagai patuh eIDAS.

“Tingkat rendah” menawarkan derajat kepastian dasar tentang identitas yang diklaim, “substansial” membutuhkan pemeriksaan yang lebih ketat dengan kemungkinan penyalahgunaan yang lebih sedikit, dan “tinggi” dimaksudkan untuk memberikan kepercayaan maksimum, didukung oleh perlindungan terkuat terhadap penipuan identitas. Perusahaan memilih tingkat yang mereka butuhkan berdasarkan paparan risiko mereka, sensitivitas data yang mereka tangani, dan kewajiban regulasi lain yang berlaku untuk layanan mereka.

Kelebihan dan Kekurangan Utama Standar Verifikasi Identitas eIDAS

Salah satu kelebihan utama standar verifikasi identitas eIDAS adalah bahwa mereka menciptakan kerangka umum untuk seluruh Uni Eropa. Dalam praktiknya, ini berarti bahwa pendekatan verifikasi identitas yang dirancang untuk diselaraskan dengan eIDAS dapat berfungsi sebagai fondasi yang kuat untuk beroperasi di negara-negara anggota Uni Eropa yang berbeda, bukan dibangun dari awal untuk setiap negara.

Kekurangan utama standar verifikasi identitas eIDAS, menurut pendapat kami, adalah bahwa mereka tidak secara aktif mendukung pengembangan teknologi verifikasi on-premise / on-device – yang benar-benar melindungi data pribadi warga dari pelanggaran dan memastikan alur kerja verifikasi identitas yang lancar. Kerangka yang mengatur penyimpanan dan transmisi mungkin mengurangi risiko, tetapi mereka tidak menghilangkan permukaan risiko itu sendiri. Setiap kali data identitas dikumpulkan atau ditransfer, itu menciptakan kesempatan baru untuk kebocoran, dan kepatuhan regulasi saja tidak dapat sepenuhnya menghilangkan kerentanan tersebut.

Mungkin tampak bahwa eIDAS sedang membangun ekosistem verifikasi identitas yang seragam dan aman di seluruh Eropa. Dalam banyak hal, ini memang menciptakan ekosistem yang lebih konsisten dan nyaman. Tapi apakah ini benar-benar berarti keamanan? Di OCR Studio, kami percaya bahwa perlindungan yang sebenarnya hanya dapat disampaikan oleh teknologi yang tidak memerlukan data pribadi untuk disimpan atau ditransfer pada awalnya. Dalam verifikasi identitas, arsitektur yang paling aman bukanlah yang mengelola data sensitif dengan lebih hati-hati, tetapi yang menghilangkan kebutuhan untuk menangani data tersebut sama sekali.

Bagaimana Membangun Verifikasi Identitas yang Aman dan Patuh

Karena setiap tingkat kepercayaan eIDAS sebagian besar dibangun di sekitar prinsip meminimalkan penyimpanan dan transfer data pribadi, teknologi on-premise / on-device adalah cara paling efektif untuk membangun sistem verifikasi identitas yang patuh dan benar-benar aman. Dari sudut pandang teknis, sistem seperti ini outperform arsitektur yang bergantung pada infrastruktur cloud atau server eksternal, karena mereka tidak rentan terhadap gangguan pihak ketiga dan dapat beroperasi bahkan tanpa koneksi internet yang stabil.

Di bawah, menggunakan tiga standar eIDAS kunci sebagai contoh, kami menunjukkan bagaimana teknologi on-device modern sepenuhnya mematuhi persyaratan verifikasi identitas ini:

“Orang tersebut dapat dianggap memiliki bukti yang diakui oleh Negara Anggota di mana permohonan untuk sarana identitas elektronik sedang dibuat dan mewakili identitas yang diklaim”

Untuk memverifikasi bahwa pengguna adalah pemilik dokumen yang sah, sistem verifikasi biasanya melakukan pemeriksaan selfie-to-ID dengan membandingkan selfie pengguna dengan foto ID. Sistem on-device melakukan pemeriksaan yang sama dengan akurasi yang sama tanpa mengirimkan data biometrik sensitif ke mana pun. Beberapa sistem on-device juga dapat melakukan deteksi serangan presentasi ketika penipu menggunakan rekaman layar dan fotokopi – ini memastikan bahwa pengguna benar-benar hadir.

“Bukti dapat dianggap asli, atau ada menurut sumber otoritatif dan bukti tampaknya valid”

Untuk memenuhi persyaratan ini, sistem verifikasi identitas yang Anda pilih harus dapat menilai apakah dokumen yang disajikan oleh pengguna tampak asli dan valid. Beberapa solusi on-device melakukan ini dengan menggabungkan pengenalan ID dengan teknologi forensik dokumen. Berdasarkan foto dokumen tunggal, mereka dapat mendeteksi berbagai manipulasi, termasuk deepfakes, ID yang dihasilkan AI, dan ID yang dimorf. Mereka juga dapat memeriksa periode validitas dan melakukan cross-validasi data dari VIZ, MRZ, dan NFC untuk mengidentifikasi inkonsistensi yang mungkin menunjukkan manipulasi atau penipuan.

“Menyimpan, sejauh yang diizinkan oleh hukum nasional atau pengaturan administratif nasional lainnya, dan melindungi catatan selama mereka diperlukan untuk tujuan audit dan penyelidikan pelanggaran keamanan, dan penyimpanan, setelah itu catatan tersebut harus dihancurkan secara aman”

Persyaratan ini bukan tentang menyimpan semua data pribadi secara default, tetapi tentang menjaga agar sistem dapat diaudit. Tantangan yang sebenarnya adalah arsitektural: bagaimana data identitas dapat diproses secara lokal sementara jejak auditability dipertahankan? Menurut pendapat kami, data tidak boleh ditransfer untuk diproses, tetapi hanya untuk tujuan audit yang terbatas dan aman. Pendekatan di masa depan mungkin termasuk logging selektif, catatan audit terenkripsi, atau mekanisme yang mempertahankan auditability tanpa mengungkapkan data pribadi mentah. Ini bukanlah keterbatasan model on-device, tetapi tantangan yang lebih luas untuk generasi sistem verifikasi identitas berikutnya.

Seperti yang Anda lihat, teknologi on-premise sepenuhnya memenuhi persyaratan eIDAS kunci sambil menghindari kelemahan utama kerangka. Karena mereka tidak memerlukan penyimpanan atau transmisi data, mereka menyediakan perlindungan yang jauh lebih kuat terhadap kebocoran data pribadi dibandingkan dengan pendekatan alternatif. Teknologi seperti itu dapat mendukung alur kerja verifikasi identitas pada tingkat kepercayaan yang diperlukan, dari “rendah” hingga “tinggi”.

Arsitektur On-Premise Melampaui Kepatuhan eIDAS

Memenuhi persyaratan eIDAS sangat penting bagi setiap perusahaan yang beroperasi di Uni Eropa. Namun, kepatuhan saja tidak cukup untuk menjamin perlindungan nyata data pelanggan. Untuk membangun KYC yang benar-benar aman, bisnis perlu melihat melampaui kepatuhan formal dan memperhatikan karakteristik teknis dari solusi verifikasi identitas yang mereka gunakan. Menurut pendapat kami, pilihan yang paling aman bukanlah vendor yang hanya meminimalkan pengumpulan data pribadi, tetapi yang menghilangkan kebutuhan untuk mengumpulkan dan mengirimkan data tersebut pada setiap tahap.