Mark Medum Bundegaard, Chief Product Officer di Partisia – Seri Wawancara

Mark Medum Bundegaard, Chief Product Officer at Partisia, is a technology and product leader specializing in privacy-enhancing technologies, blockchain architecture, and secure machine learning. He leads Partisia’s product vision and roadmap, working across engineering, design, and business teams to deliver platforms built on secure multiparty computation and quantum-secure infrastructure. His background spans senior roles in banking, telecom, media, and startups, with deep expertise in cloud-native systems, distributed architecture, and applied AI, alongside experience managing large-scale operations such as Denmark’s Copenhell music festival.

Partisia is a cryptography-focused software company developing infrastructure for privacy-preserving data collaboration. Its platform enables organizations to compute on encrypted data using secure multiparty computation combined with blockchain orchestration, allowing insights to be generated without exposing sensitive information. By supporting confidential computing, decentralized identity, and privacy-first machine learning, Partisia helps enterprises unlock data value while maintaining compliance, security, and data sovereignty across industries including finance, healthcare, and digital infrastructure.

Laporan bersama terbaru dari Europol menggambarkan kriptografi pasca-kuantum (PQC) — enkripsi yang dirancang tetap aman bahkan ketika komputer kuantum dapat memecahkan standar saat ini — sebagai transisi jangka panjang berbasis risiko daripada pertukaran algoritma satu kali. Dari apa yang Anda lihat di seluruh institusi keuangan, di mana kesenjangan terbesar antara mengenali risiko kuantum dan benar-benar dapat bertindak atasnya?

Kesenjangan terbesar saat ini adalah visibilitas. Sebagian besar institusi keuangan belum memiliki “daftar bahan kriptografi” yang lengkap — artinya inventaris yang jelas tentang di mana kriptografi digunakan, algoritma mana yang melindungi aset mana, dan berapa lama aset tersebut perlu tetap aman.

Tanpa fondasi itu, sulit untuk memprioritaskan migrasi. Bahkan setelah visibilitas meningkat, mengganti kriptografi dalam sistem warisan yang diatur adalah proses lambat yang melibatkan perangkat lunak, perangkat keras, sertifikasi, dan perubahan operasional. Tantangannya bukan mengenali risiko, melainkan menerjemahkan kesadaran itu menjadi peta jalan migrasi yang dapat ditindaklanjuti.

Laporan mencatat bahwa banyak organisasi tidak memiliki inventaris lengkap kriptografi mereka, artinya mereka tidak sepenuhnya mengetahui di mana enkripsi digunakan di seluruh aplikasi, aliran data, dan infrastruktur. Mengapa visibilitas ini masih begitu terbatas di institusi keuangan besar, dan apa cara paling praktis untuk memperbaikinya?

Sistem modern terdiri dari banyak komponen perangkat lunak dan sub-sistem yang saling terhubung yang dikembangkan secara independen, pada waktu yang berbeda, dan oleh aktor yang berbeda. Seringkali sulit untuk mendapatkan gambaran lengkap tentang perangkat lunak apa yang digunakan, belum lagi algoritma mana yang dipakai. Mungkin tidak ada solusi “satu ukuran cocok untuk semua”.

Namun, perusahaan yang sudah memiliki gambaran tentang perangkat lunak mereka mungkin berada pada posisi yang lebih baik. Hal yang sama berlaku untuk perangkat keras, sebagian besar bank masih bekerja dengan kunci enkripsi yang disediakan melalui penggunaan HSM, yang menciptakan rantai ketergantungan dari aplikasi hingga perangkat keras yang berjalan. Ketika ledakan Cloud datang ke industri keuangan, banyak hal menjadi lebih mudah, tetapi memperoleh visibilitas yang tepat ke layanan menjadi lebih sulit. Jadi untuk saat ini banyak institusi yang bekerja, sebagai bagian dari migrasi ke standar PQC, untuk membuat gambaran lengkap tentang kunci.

Anda telah menunjukkan bahwa kesiapan PQC sering terhambat karena masalah kepemilikan dan tata kelola daripada pilihan kriptografi itu sendiri. Bagaimana ketidakjelasan tanggung jawab antara tim keamanan, TI, dan produk berubah menjadi risiko keamanan dan kepatuhan jangka panjang yang nyata?

Kriptografi berada di persimpangan keamanan, infrastruktur, dan pengembangan aplikasi. Ketika kepemilikan tidak jelas, upaya migrasi terhenti — bukan karena algoritma tidak diketahui, melainkan karena tidak ada tim tunggal yang memiliki mandat atau visibilitas untuk mendorong transisi.

Seiring waktu, hal ini menciptakan risiko sistemik. Sistem tetap bergantung pada kriptografi warisan lebih lama dari yang dimaksudkan, meningkatkan paparan dan membuat migrasi akhir menjadi lebih kompleks, mahal, dan mengganggu.

Crypto-agility — kemampuan untuk menukar atau meningkatkan algoritma kriptografi tanpa membangun ulang seluruh sistem — sering disebut sebagai penting untuk kesiapan PQC. Bagaimana kurangnya crypto-agility meningkatkan keterikatan, hutang teknis, dan biaya upgrade di masa depan bagi institusi keuangan?

Crypto-agility menentukan apakah komponen kriptografi dapat diganti tanpa merancang ulang seluruh sistem. Di mana kriptografi tertanam dalam logika aplikasi atau infrastruktur, menggantinya menjadi mahal dan berisiko operasional.

Institusi yang membangun agility sekarang akan dapat bertransisi secara bertahap. Mereka yang tidak melakukannya mungkin menghadapi migrasi berskala besar dan mengganggu di kemudian hari, terutama seiring standar dan harapan regulasi berkembang.

Dari sudut pandang Anda di Partisia, yang beroperasi pada lapisan kriptografi dan infrastruktur sistem yang diatur, jenis platform warisan atau pola arsitektur apa yang paling sulit dipersiapkan untuk PQC, dan mengapa?

Sistem yang sangat diatur seringkali paling sulit untuk diperbarui. Ini disengaja — sistem ini dirancang untuk stabilitas dan jaminan, bukan perubahan cepat.

Mentransisikan mereka ke PQC memerlukan lebih dari sekadar memperbarui algoritma. Ini melibatkan pembaruan perangkat lunak, dukungan perangkat keras, sertifikasi ulang, dan validasi operasional. Kendala ini menjadikan perencanaan awal penting, karena jadwal migrasi diukur dalam tahun, bukan bulan.

Rekomendasi inti dalam laporan adalah agar organisasi menilai berapa lama aset data yang berbeda perlu tetap aman — misalnya, apakah data keuangan atau pribadi yang sensitif harus tetap rahasia selama bertahun-tahun atau puluhan tahun. Bagaimana institusi secara realistis mengevaluasi “masa pakai” kriptografi saat merencanakan migrasi PQC?

Institusi perlu menilai berapa lama data tertentu harus tetap rahasia dan apa konsekuensinya jika data tersebut terungkap di masa depan.

Beberapa data, seperti catatan transaksi atau informasi keuangan pribadi, mungkin memerlukan perlindungan selama puluhan tahun. Hal ini membuatnya rentan terhadap skenario “panen sekarang, dekripsi nanti”, di mana data terenkripsi dikumpulkan hari ini dan didekripsi setelah kemampuan kuantum matang. Memahami garis waktu ini penting untuk memprioritaskan migrasi.

Banyak tim menganggap pekerjaan PQC dimulai hanya setelah standar akhir sepenuhnya ditetapkan, namun laporan menyarankan persiapan harus dilakukan lebih awal. Dalam 12–24 bulan ke depan, tindakan konkret apa yang harus diprioritaskan tim keamanan dan arsitektur bahkan sebelum migrasi berskala besar dimulai?

Langkah paling penting adalah membangun inventaris lengkap penggunaan kriptografi — memahami di mana kriptografi digunakan, bagaimana implementasinya, dan sistem mana yang bergantung padanya.

Visibilitas ini memungkinkan institusi mengidentifikasi sistem berisiko tinggi dan mulai merancang arsitektur crypto-agile yang mendukung transisi algoritma di masa depan tanpa gangguan berskala besar.

Masih ada keyakinan bahwa menunda perencanaan PQC menghemat uang sampai ancaman kuantum menjadi lebih mendesak. Berdasarkan apa yang Anda lihat dalam praktik, bagaimana penundaan sebenarnya meningkatkan biaya masa depan, kompleksitas operasional, dan eksposur risiko?

Pertanyaan yang bagus. Menunda persiapan tidak menghilangkan pekerjaan migrasi — melainkan memadatkannya ke dalam jangka waktu yang lebih singkat. Sistem yang diterapkan hari ini dapat tetap beroperasi selama puluhan tahun, artinya keputusan yang diambil sekarang menentukan eksposur risiko di masa depan.

Persiapan awal memungkinkan institusi mengintegrasikan crypto-agility ke dalam siklus upgrade normal. Menunggu terlalu lama dapat memerlukan migrasi mendesak yang mahal di bawah tekanan regulasi atau ancaman.

Anda telah bekerja di sistem cloud-native, infrastruktur blockchain, dan teknologi yang melindungi privasi seperti komputasi multipihak yang aman, yang memungkinkan data diproses tanpa diungkapkan. Bagaimana perencanaan PQC berbeda di lingkungan terdistribusi atau berfokus pada privasi ini dibandingkan dengan sistem keuangan terpusat tradisional?

Pada tingkat dasar, tantangannya sama: mengidentifikasi di mana kriptografi digunakan dan memastikan dapat diganti dengan aman. Baik sistem terpusat maupun terdistribusi, keamanannya pada akhirnya bergantung pada kekuatan dan siklus hidup primitif kriptografi.

Perbedaan utama adalah visibilitas arsitektural. Sistem terdistribusi dan yang didorong oleh kriptografi sering memiliki batas yang lebih jelas mengenai penggunaan dan verifikasi kunci, yang dapat mempermudah identifikasi ketergantungan. Namun tugas inti — memperoleh visibilitas, merencanakan migrasi, dan memastikan crypto-agility — tetap sama di kedua lingkungan.

Ke depan, apakah Anda mengharapkan kesiapan PQC menjadi standar kepatuhan regulasi, atau dapat berkembang menjadi pembeda kompetitif dan berbasis kepercayaan bagi institusi keuangan — dan sinyal awal apa yang harus dipantau investor serta pemimpin teknologi?

Dalam jangka pendek, PQC kemungkinan akan muncul sebagai bagian dari harapan keamanan dan regulasi yang berkembang, bukan sebagai persyaratan kepatuhan terpisah.

Seiring waktu, institusi yang menunjukkan ketahanan kriptografi yang kuat dan perlindungan data jangka panjang akan memiliki keunggulan kepercayaan. Investor dan regulator semakin memperhatikan risiko infrastruktur, dan kesiapan kriptografi menjadi bagian dari percakapan ketahanan yang lebih luas.

Terima kasih atas wawancara yang luar biasa, pembaca yang ingin mempelajari lebih lanjut harus mengunjungi Partisia.