Belanda Blokir Akuisisi Pemasok Digital Vital oleh AS

• Pemerintah Belanda memblokir akuisisi Solvinity oleh Kyndryl yang berbasis di AS sebagai respons atas kekhawatiran kendali asing terhadap infrastruktur verifikasi identitas online yang krusial
• Solvinity mengoperasikan platform aplikasi DigiD, dan DigiD digunakan untuk verifikasi identitas online saat membuat janji medis, membeli rumah, dan mengakses lembaga publik
• Otoritas peninjauan investasi menilai akuisisi ini dapat menimbulkan potensi risiko terhadap kepentingan publik, dan pemerintah menerima rekomendasi itu pada hari Senin lalu memblokirnya
• Belanda menegaskan bahwa meski mengakui nilai ekonomi perusahaan teknologi asing, mereka tetap menerapkan kerangka peninjauan investasi independen tanpa memandang kewarganegaraan investor
• Keputusan ini muncul menjelang pengungkapan paket kedaulatan teknologi Uni Eropa, seiring perdebatan soal ketergantungan Eropa pada teknologi asing di bidang cloud, microchip, dan AI

---

Pemblokiran akuisisi Solvinity

• Pemerintah Belanda memblokir upaya perusahaan berbasis AS Kyndryl untuk mengakuisisi pemasok TI Belanda Solvinity
• Solvinity mengoperasikan platform aplikasi DigiD Belanda
• Aplikasi DigiD digunakan untuk verifikasi identitas online warga Belanda, termasuk untuk membuat janji medis, membeli rumah, dan mengakses lembaga publik
• Kyndryl mengumumkan rencana akuisisi Solvinity pada November, yang memicu kekhawatiran bahwa alat identitas online yang vital bisa berada di bawah kendali asing

Peninjauan investasi dan risiko terhadap kepentingan publik

• Menteri Negara Urusan Ekonomi Digital Belanda Willemijn Aerdts dalam surat kepada parlemen yang dipublikasikan pada hari Selasa menyampaikan bahwa otoritas nasional yang menangani peninjauan investasi telah merekomendasikan kepada pemerintah untuk memblokir akuisisi tersebut
• Akuisisi ini dinilai sebagai transaksi yang dapat menimbulkan potensi risiko terhadap kepentingan publik
• Pemerintah Belanda menerima rekomendasi tersebut pada hari Senin dan memutuskan untuk memblokir akuisisi itu
• Belanda menekankan bahwa mereka menghargai keberadaan perusahaan teknologi asing, khususnya yang berbasis di AS, serta nilai tambahnya bagi ekonomi Belanda dan infrastruktur digitalnya
• Pada saat yang sama, Belanda mempertahankan kerangka peninjauan investasi independen demi melindungi kepentingan publik, dan menerapkannya secara sama tanpa memandang negara asal investor

Perdebatan ketergantungan teknologi Eropa

• Di seluruh Eropa, kekhawatiran atas ketergantungan pada teknologi AS terus meningkat
• Keputusan ini keluar sepekan sebelum European Commission mengungkap paket kedaulatan teknologi
• Paket ini merupakan kumpulan proposal untuk mengurangi ketergantungan Eropa pada teknologi asing di bidang cloud, microchip, dan AI

Sikap Kyndryl

• Dalam sebuah pernyataan, Kyndryl menyebut keputusan ini “sangat mengecewakan”
• Kyndryl mengkritik bahwa “politisasi proses ini telah menutupi manfaat yang jelas dan signifikan yang akan dibawa transaksi ini bagi pelanggan Solvinity dan warga Belanda”

[GN⁺]

Komentar Hacker News

• Akhirnya terjadi juga

  Seluruh negeri sudah menuntut ini selama berminggu-minggu, tetapi pemerintah benar-benar diam. Beberapa minggu lalu seluruh parlemen, dengan hanya satu partai yang menolak, meloloskan mosi yang menyetujui penghentian kontrak dengan Solvinity, tetapi pemerintah justru memperpanjang kontraknya, dan pada akhirnya yang tersisa hanya mencegah akuisisinya sendiri, namun kepercayaan bahwa pemerintah akan benar-benar melakukannya juga tidak besar

  Alasan utamanya adalah karena Solvinity meng-host DigiD, sistem identitas elektronik nasional Belanda. DigiD menangani autentikasi untuk semua sistem pemerintah dan sistem sensitif seperti layanan kesehatan. Karena hukum AS mewajibkan data yang dimiliki perusahaan Amerika harus dapat diakses pemerintah AS terlepas dari lokasi hostingnya, sistem ini jelas tidak boleh jatuh ke tangan AS

  Tentu saja, masih banyak data sensitif yang tetap berada di tangan perusahaan AS seperti Microsoft dan Amazon. Saya tidak tahu kapan itu akan ditangani

  • Ini sedikit lebih rumit dari itu

    Yang benar-benar memiliki dan mengelola stack DigiD adalah Logius, dan Solvinity hanya dipekerjakan karena keahliannya. Sepengetahuan saya, Solvinity tidak bisa mengakses datanya

    Saya tidak bisa menemukannya sekarang, tetapi ada komentar panjang dari orang dalam di Tweakers yang menjelaskan bahwa Logius hampir tidak punya pengetahuan tentang cara kerja stack saat ini, dan ada banyak elemen kustom. Ini adalah vendor lock-in yang klasik. Pemerintah, atau lebih tepatnya Logius, sekarang ingin lepas dari Solvinity, tetapi tampaknya ini akan menjadi proses yang memakan waktu mungkin lebih dari 5 tahun

    Ini juga terasa seperti sesuatu yang seharusnya dikerjakan bersama oleh “lingkar dalam” UE. Misalnya berdasarkan stack Estonia, lalu diadopsi dan dikembangkan bersama oleh Swedia, Denmark, Finlandia, dan Belanda. Elemen kustom yang dibutuhkan masing-masing negara dibuat bisa diperluas, lalu setiap beberapa tahun ditinjau mana dari ekstensi kustom itu yang bisa digeneralisasi dan dimodularisasi, hasilnya akan jadi produk yang jauh lebih baik. Boleh juga bermimpi :)

  • Untuk beberapa fungsi, DigiD sendiri mengharuskan aplikasi iOS atau Android. Itu berarti harus punya hubungan kontraktual dengan Apple atau Google, dan merekalah yang menentukan apakah aplikasi itu bisa dipasang dan digunakan

    Saya paham bahwa jalur ini tidak memberi akses tambahan ke data sensitif, tetapi tetap saja perusahaan-perusahaan ini punya kuasa untuk memblokir akses seseorang ke aplikasi DigiD tertentu

    Sebagian besar fungsi tidak memerlukan aplikasi, tetapi untuk beberapa tugas terkait kesehatan, hanya aplikasi yang bisa dipakai tanpa alternatif lain

  • Kalau dibilang “akhirnya”, ini sudah terlambat satu langkah. Kita akan teringat lagi ucapan “saya melihatnya lebih dulu di sini” dua tahun dari sekarang

    Jika perusahaan itu mengajukan banding, besar kemungkinan keputusan ini dibatalkan baik di pengadilan Belanda maupun Eropa. Terlebih lagi setelah Mark Rutte Daddy menelepon. Satu-satunya tujuan langkah ini adalah agar pemerintah Belanda bisa menjaga muka, dan ini untuk konsumsi domestik. Mereka mungkin sudah menyembunyikan telaah hukum internal yang menyatakan hal itu di suatu tempat. Lalu nanti mereka akan bilang “kami sudah mencoba, tapi pengadilan yang menghalangi”

    Seluruh organisasi diplomatik dan pegawai negeri Belanda, termasuk Kementerian Luar Negeri Belanda, secara luas memakai infrastruktur Microsoft untuk pekerjaan sehari-hari, layanan cloud, dan email. Dan datanya juga bocor

    “Microsoft Accused Of Sharing Dutch Officials’ Data with U.S. Government” - https://www.yahoo.com/news/politics/articles/microsoft-accus...

    Perusahaan yang mengajukan banding juga akan menjadikan ini sebagai argumen hukum utama. Mereka akan berargumen bahwa keputusan ini dipolitisasi, dasarnya lemah, dan tidak proporsional karena risikonya bisa diatasi dengan perlindungan teknis dan hukum yang mengikat. Dan mereka akan mencontohkan penggunaan Microsoft yang luas oleh Kementerian Luar Negeri :-)

    Pada akhirnya ini cuma kemunafikan gaya Polder lain dari pemerintah Belanda

  • Dari yang kita ketahui sekarang, alur ini tampak cukup logis. Hanya saja mungkin ada hal lain yang terjadi di belakang layar yang tidak kita ketahui

    Mungkin ada negosiasi tentang cara menjaga data tetap terpisah dan semacamnya, dan pemblokiran total disisakan sebagai jalan terakhir

    Meski begitu, hasil akhirnya tetap bagus

  • Kalau yang dimaksud adalah “hukum AS yang mewajibkan pemerintah AS dapat mengakses data yang dimiliki perusahaan AS”, tepatnya hukum yang mana?

• “Politisasi proses ini telah menutupi manfaat yang jelas dan signifikan yang akan dibawa transaksi ini bagi pelanggan Solvinity dan warga Belanda”

  Ini benar-benar tidak tahu malu. Melindungi privasi dan kepentingan warga memang tugas para politisi. Mungkin menurut standar AS belakangan ini itu terdengar aneh

• Inilah sebabnya perlindungan privasi yang dijamin oleh arsitektur lebih penting daripada perlindungan privasi yang dijamin oleh kebijakan. Belanda mempercayai kebijakan “Solvinity tidak bisa mengakses data”, tetapi arsitekturnya tetap memungkinkan itu terjadi

  Solusi yang sebenarnya adalah sistem kedaulatan kriptografis di mana bahkan vendor secara matematis tidak dapat mengakses data pengguna, apa pun isi hukum AS. Bukan “kami berjanji tidak akan melihatnya”, melainkan “secara harfiah kami tidak bisa melihatnya”

  Saya sedang membangun sesuatu yang kecil ke arah ini. Identitasnya adalah seed phrase BIP-39, dan pesannya adalah jaringan mesh yang dienkripsi end-to-end pada level protokol, bukan level aplikasi. Tujuannya adalah membuat bahkan saya sebagai pengembang tidak bisa membaca pesan pengguna. Masih tahap awal, tetapi masalah yang sedang dijelaskan ini persis alasan mengapa hal seperti ini perlu ada

  • “Kalau identitasnya adalah seed phrase BIP-39”

    Jadi sekali lagi identitas bergantung pada satu faktor autentikasi berbasis pengetahuan saja?

    Ada alasan mengapa ide seperti itu tidak ada

  • Atau data cukup di-host di negara kita oleh perusahaan yang berbadan hukum di negara kita. Yaitu sovereign cloud

• Sebagai warga Belanda, saya tidak mengerti kenapa mereka tidak bisa self-host solusi identitas open source yang menangani 30 ribu permintaan per jam untuk 20 juta pengguna. Memangnya sesulit apa?

  • Sebagai warga AS yang mendukung pemerintah Belanda untuk melakukan persis itu, saya juga penasaran

    https://openwallet.foundation/staff/

  • Rasanya ingin tahu sesulit apa merekrut insinyur yang kompeten untuk bekerja di bank atau pemerintahan

  • 30 ribu permintaan per jam? VPS 5 euro pun bisa menanganinya dengan mudah

• Baru pertama kali dengar ‘Kyndryl’

  https://en.wikipedia.org/wiki/Kyndryl

  “Kyndryl, yang resmi diluncurkan pada akhir 2021, dibentuk dari pemisahan unit layanan infrastruktur IBM”

“Kyndryl beroperasi di 63 negara per November 2021”

• Semoga lebih banyak media menuliskan ini dengan benar. Kyndryl adalah IBM lama, dan memiliki 73.000 karyawan di seluruh dunia. Saat berita ini pertama kali muncul, tidak ada yang pernah mendengarnya sehingga terdengar seperti perusahaan hosting kecil acak, padahal sebenarnya raksasa

• Tidak ada yang akan dipecat hanya karena mempekerjakan Kyndryl

• Kalau ini infrastruktur Belanda yang begitu penting, kenapa sejak awal ada di tangan swasta?

  • DigiD sendiri dimiliki pemerintah, tetapi infrastrukturnya dikelola oleh perusahaan swasta, Solvinity. Ini tidak jauh berbeda dari pemerintah AS yang menjalankan setengah stack-nya di AWS

  • Karena terlalu sedikit orang berkemampuan IT yang mau bekerja di bawah skema gaji pemerintah. Dalam kebanyakan kasus, mereka bisa mendapat penghasilan lebih besar di sektor swasta atau korporat

    Akibatnya, sebagian besar proyek IT Belanda jatuh ke perusahaan swasta, dan untuk hal-hal seperti DigiD atau platform pesan resmi dan keamanan, penyedia hosting bisa mengenakan tarif yang konyol. Tahukah kamu bahwa mengirim satu pesan lewat Berichtenbox biayanya 25 sen? Pemerintah harus membayar jutaan euro setiap tahun hanya untuk mengirim pesan “sudah waktunya lapor pajak”. Kecuali kalau ada kontrak diskon volume besar

  • Karena firma modal ventura swasta dan bank investasi yang sangat kuat ingin pemerintah tetap tidak berdaya di hadapan modal. Selamat datang di dunia Barat

  • Karena privatisasi

• Ini hal yang baik, tetapi terutama melihat pemerintah AS saat ini, rasanya ini bukan yang terakhir. ASML juga saat mengakuisisi perusahaan AS Cymer pada 2013, baru mendapat izin setelah ada kesepakatan ketat soal berbagi teknologi dan kontrol ekspor. Cymer benar-benar memiliki teknologi sumber cahaya EUV yang bernilai

  Bahwa Belanda memblokir akuisisi dari pihak AS karena kekhawatiran kontrol teknologi jelas akan membuat Washington tersinggung

  • Ini bukan perusahaan yang membuat teknologi mandiri atau semacamnya, melainkan perusahaan yang menangani sebagian dari infrastruktur terpenting pemerintah kami. Kekhawatiran privasi sangat mudah dibayangkan. Ini kasus yang sepenuhnya berbeda

  • Kalau ini terjadi pada 2013, kemungkinan besar transaksi yang sama akan lolos. Hubungan AS-Belanda pada 2013 di era Obama dan hubungan saat ini di bawah Trump jilid 2 benar-benar berbeda. Menyebut timbal balik hari ini dengan dasar apa yang terjadi pada era Obama tidak meyakinkan. Semua orang tahu Trump menentang hampir semua yang dilakukan Obama

  • Ini detail besar yang membuat gambarnya lebih rumit. Teknologi litografi ASML sangat diuntungkan oleh riset Departemen Energi AS

    “Pada 1997 ASML mulai meneliti cara beralih ke penggunaan ultraviolet ekstrem. Dua tahun kemudian perusahaan itu bergabung dengan konsorsium yang mencakup Intel dan dua produsen semikonduktor AS lainnya, untuk memanfaatkan riset dasar yang dilakukan oleh Departemen Energi AS. Cooperative Research and Development Agreement (CRADA) yang diikuti konsorsium ini berjalan dengan dana pemerintah AS, sehingga lisensinya harus mendapat persetujuan Congress”

  • ASML membawa Cymer ke dalam karena Cymer tidak mampu membuat teknologi yang dibutuhkan, dan untuk benar-benar menghasilkan hasil yang diperlukan, ASML harus menggelontorkan sumber daya dan insinyur ke proyek pemasok itu. Cymer hanya bisa membuat sumber cahaya EUV 10W sementara ASML membutuhkan sumber 250W, jadi ASML membeli perusahaan itu agar bisa benar-benar mewujudkan yang diinginkannya. ASML juga punya pemasok sumber cahaya lain yang bisa dipilih

    Secara harfiah perusahaan itu diakuisisi karena tidak mampu melakukan hal yang dibutuhkan. Tetapi banyak orang Amerika, dengan gaya American exceptionalism khas mereka, ingin menulis ulang dunia seolah ASML adalah entitas ajaib yang sebenarnya menyembunyikan teknologi AS di balik jasnya. Seolah semuanya somehow berutang pada orang Amerika

    Pemerintah AS memaksa semua perusahaan AS untuk tidak boleh bekerja dengan hakim atau staf ICC dengan dalih membela Israel, tuan mereka. Hanya karena ini saja, perusahaan AS seharusnya sudah diusir dari semua negara asing. Memberi perusahaan yang beralamat di AS kendali atas teknologi infrastruktur domestik adalah kegilaan, nyaris setingkat pengkhianatan. Siapa pun yang mendorong ini harus diselidiki secara menyeluruh. Demikian pula, fakta bahwa UK terus mengadopsi sampah buatan Palantir adalah bukti jelas bahwa negara itu sudah sepenuhnya rusak dan memerlukan perombakan besar-besaran birokrasi sipilnya

    Semua ini bahkan terpisah dari segala rengekan, tingkat korupsi yang absurd, dan perilaku mengancam sekutu secara terbuka

    Jelas ini akan “membuat tersinggung”, tetapi AS sudah terlalu jauh merusak keadaan. Pada titik ini, tidak ada yang peduli lagi alasan apa yang dipakai gerombolan pedofil, orang goblok, dan kriminal pencari keuntungan pribadi dari negara bodoh itu untuk mengamuk. Sampai di titik ini, AS harus dikeluarkan dari NATO, semua pangkalannya ditutup, dan masing-masing negara harus mempersenjatai diri dengan nuklir

• Ini kabar baik. Akan sangat menyedihkan jika bagian yang begitu inti dari masyarakat kita bergantung pada kehendak negara lain, apalagi negara yang tidak stabil dan terang-terangan bermusuhan

• Ke depan kita akan lebih sering melihat tren memblokir kepemilikan AS. Tidak peduli seberapa baik hubungannya, tidak ada pemerintah yang boleh, atau bisa, menyerahkan akses ke data pemerintah dan warga negaranya kepada pengakuisisi asing

  Terlepas dari itu, kejadian ini memberi gambaran yang lebih jelas tentang kendali AS. Kendali itu sedang hilang. AS dipandang sebagai ancaman, dan praktik koersif memiliki data lalu memakainya sebagai alat kontrol mulai muncul

  • Kamu tampaknya mengasumsikan data warga akan dipindahkan; adakah buktinya?

• Jika Belanda memiliki perjanjian berbagi intelijen dengan Five Eyes atau Fourteen Eyes, semua data ini pada akhirnya tetap bisa diakses oleh AS dan sekutu lainnya. Tentu saja, semoga pemerintah Belanda tetap berperan sebagai penjaga gerbang

  • Ini bukan hanya soal data. Misalnya, risikonya adalah AS secara efektif bisa mematikan hal-hal seperti pemungutan pajak atau layanan rumah sakit Belanda sebagai bagian dari serangan pendahuluan terhadap Greenland

    Tentu, kemungkinannya kecil. Tetapi dalam suasana saat ini, orang-orang cemas, dan lebih baik tidak mengambil risiko yang tidak perlu. Pemerintah saat ini sudah memulai strategi jangka panjang untuk memulangkan lebih banyak infrastruktur perangkat lunak kritis ke dalam negeri, dan menjual perangkat lunak penyedia identitas inti ke luar negeri bertentangan langsung dengan kebijakan saat ini

  • Intinya lebih dekat ke “jangan serahkan salah satu potongan infrastruktur terpenting kepada negara yang berpotensi bermusuhan” daripada kekhawatiran privasi. DigiD adalah platform autentikasi pengguna untuk hampir semua situs pemerintah Belanda. Pemerintah asing bisa menekan individu Belanda agar patuh dengan membatasi akses

  • Justru peran penjaga gerbang itulah yang membuat perbedaannya di sini. Apakah semua data diserahkan ke negara lain lalu minta potongannya dikembalikan saat diperlukan, atau di-host sendiri dan hanya bagian yang relevan dengan penyelidikan negara itu yang dibagikan? Strukturnya tidak boleh membuat negara itu bisa memblokir setiap kali seseorang mencoba memakai DigiD

  • “Jika Netherlands memiliki perjanjian berbagi intelijen dengan Fourteen Eyes”, maka itu asumsi yang cukup aman, karena Belanda memang anggota Fourteen Eyes

  • Ini bukan soal privasi, melainkan soal kendali